---
title: "Dinky（DataLinkDC）の CVE-2026-122009: Flink 画面の中継エンドポイントで SSRF、認証なしで任意の宛先へ通信させられる恐れ（1.2.5 以前・修正版の記載なし・CVSS v3.1 7.3）"
url: https://n-t-p.io/worldsecurity/articles/dinky-cve-2026-122009-flink-web-proxy-ssrf-unauthenticated-no-fix
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-122009
---

# Dinky（DataLinkDC）の CVE-2026-122009: Flink 画面の中継エンドポイントで SSRF、認証なしで任意の宛先へ通信させられる恐れ（1.2.5 以前・修正版の記載なし・CVSS v3.1 7.3）

> **TL;DR:** データ開発基盤 Dinky（DataLinkDC）1.2.0〜1.2.5 の Flink 画面の中継エンドポイントで、パラメーター _authority の検証不足による SSRF（CVE-2026-122009、CVSS v3.1 7.3・認証不要）。修正版は NVD に記載なし。勧告は未公開で未確認。

**要点**
- Flink Web の中継エンドポイント FlinkWebURITemplateProxyServlet.getNewTargetUri で、_authority の値が検証されず、サーバーから任意の宛先へ通信させられる SSRF（CWE-918）。
- CVSS v3.1 は 7.3（AV:N/AC:L/PR:N/UI:N、影響はいずれも低）。認証不要だが 9 未満のため severity 案は high。EPSS は 0.5%、CISA KEV 掲載なし。
- NVD は影響版を 1.2.0〜1.2.5 と列挙し、修正版の記載はない。研究者が提出したとされる GitHub の勧告は未公開で、中身は未確認。
- 対策の例: 管理サーバーを外部から直接届かない場所に置く、サーバーからの内部通信を必要な宛先だけに制限する、勧告・リリースを確認して更新する。
- 悪用の実態、修正の有無、1.2.0 より前の版への影響は未確認。

Flink 向けのデータ開発プラットフォーム Dinky（DataLinkDC）に、サーバー側リクエスト偽造（SSRF、CWE-918）の欠陥（**CVE-2026-122009**）が NVD に登録されました。登録は 2026-11-04（日本時間 11/5 早朝）で、評価はまだ確定していない状態（Deferred）です。登録元は VulDB（CNA）です。

## 内容
NVD の記述によると、問題は管理サーバー側の Flink Web 画面の中継エンドポイント（`flink_web Proxy Endpoint`）の `FlinkWebURITemplateProxyServlet.getNewTargetUri` にあります。パラメーター `_authority` の値が検証されず、攻撃者が指定した宛先へサーバーから通信させられます。遠隔から開始でき、攻撃コードは公開済みで使われうる、と記載されています。

## 評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（登録元: VulDB） | **7.3** `AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L` |
| CVSS v4.0 | 5.5 |
| EPSS（11/5 時点） | 0.5%（順位は上位約 57%） |
| CISA KEV | 掲載なし（11/6 確認） |

- 認証は不要（PR:N）と評価されていますが、機密性・完全性・可用性の影響はいずれも「低」で、CVSS は 9 未満です。severity は **high** を案とします。確定はオーナーの判断待ちです。
- SSRF では、サーバーから見える内部ネットワークのサービス（管理画面・メタデータ API など）に届く恐れがあります。実際にどこまで届くかは、設置環境によります。

## 影響を受ける版と修正
NVD には、影響を受ける版として Dinky 1.2.0〜1.2.5 が列挙されています。修正版の記載はありません。NVD の記述には「研究者がプロジェクトの GitHub に勧告（GHSA）を提出したと主張している」とあります。この勧告は本稿の時点で公開されておらず（取得できず）、中身は確認していません。

## 利用者が考えられること
1. 管理サーバーを、インターネットや信頼できない利用者から直接届かない場所に置きます（認証が不要と評価されているため、ネットワーク側での制限が有効です）。
2. 管理サーバーから内部ネットワーク・クラウドのメタデータ API への通信を、必要な宛先だけに制限します（SSRF の被害を小さくします）。
3. プロジェクトの GitHub の勧告・リリースを確認し、修正版が出たら更新します。
4. 中継エンドポイントへの、不審な `_authority` を含む要求がログに残っていないかを確認します。

## 未確認の点
- 実際の悪用の有無（NVD の記述は「攻撃コードが公開されている」ですが、本稿では攻撃コードを確認していません）。
- 修正版の有無と、勧告・修正コミットの中身。
- 1.2.0 より前の版への影響。
- 認証が本当に不要か（実際の設定による差を含む）と、到達できる範囲。
- NVD の最終評価。


## 出典
- [NVD CVE-2026-122009](https://nvd.nist.gov/vuln/detail/CVE-2026-122009) — NIST NVD
- [VulDB CVE-2026-122009](https://vuldb.com/cve/CVE-2026-122009) — VulDB
- [DataLinkDC/dinky（プロジェクト）](https://github.com/DataLinkDC/dinky/) — GitHub
- [GitHub 勧告 GHSA-wchp-mjj9-wxqh（NVD の参照先。未公開で取得できず）](https://github.com/DataLinkDC/dinky/security/advisories/GHSA-wchp-mjj9-wxqh) — GitHub
- [FIRST EPSS API（0.5%）](https://api.first.org/data/v1/epss?cve=CVE-2026-122009) — FIRST
- [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/dinky-cve-2026-122009-flink-web-proxy-ssrf-unauthenticated-no-fix