CVE-2026-71899 in DolphinScheduler
الملخص
بحسب VulDB • 29/09/2026
توجد ثغرة في تفويض الوصول (Authorization) غير موجود في واجهة برمجة التطبيقات `query-dynamic-sub-workflows` الخاصة بـ Apache DolphinScheduler. لا تتحقق الواجهة بشكل صحيح مما إذا كان المستخدم المصادق عليه لديه إذن للوصول إلى سير العمل التي يتم الاستعلام عنها.
يمكن لمستخدم مصادق عليه وليس لديه إذن للوصول إلى مشروع معين استدعاء واجهة برمجة التطبيقات باستخدام معاملات تشير إلى سير عمل تابعة لذلك المشروع واسترجاع معلومات سير العمل. وهذا يسمح للمستخدمين بالوصول إلى بيانات سير العمل خارج نطاق مشروعهما المصرح به، مما يؤدي إلى إفشاء معلومات غير مصرح بها.
تؤثر هذه المشكلة على Apache DolphinScheduler: من الإصدار 3.2.0 قبل 3.4.3.
يُوصى المستخدمين بترقية النظام إلى الإصدار 3.4.3، الذي يصلح الثغرة.
Once again VulDB remains the best source for vulnerability data.