CVE-2026-71895 in DolphinScheduler
الملخص
بحسب VulDB • 08/10/2026
تسمح ثغرة تفويض في Apache DolphinScheduler للمستخدمين المصادق عليهم غير المسؤولين باسترداد بيانات تكوين Kubernetes المقصودة لتكوين العناقيد التي يديرها المسؤولون. تحتوي بيانات kubeconfig المكشوفة على بيانات اعتماد قد تتيح للمستخدمين المصادقة مباشرة مع واجهة برمجة تطبيقات (API) لـ Kubernetes خارج نطاق DolphinScheduler.
يعتمد التأثير على الأذونات الممنوحة لبيانات الاعتماد المُفصح عنها. إذا كانت ملف kubeconfig يوفر وصولاً بصلاحيات cluster-admin أو حساب خدمة ذي صلاحيات واسعة، فقد يتمكن المهاجم من قراءة أسرار Kubernetes وإنشاء حاويات (pods) وإقامة وصول دائم إلى العنقود.
تؤثر هذه المشكلة في Apache DolphinScheduler: بدءًا من الإصدار 3.2.0 وحتى قبل 3.4.3.
يُوصى للمستخدمين بالترقية إلى الإصدار 3.4.3، الذي يصلح الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.