CVE-2026-71895 in DolphinScheduler
Zusammenfassung
von VulDB • 08.10.2026
Eine Schwachstelle in der Autorisierung von Apache DolphinScheduler ermöglicht es authentifizierten Nicht-Administratoren, Kubernetes-Konfigurationsdaten abzurufen, die für die Konfiguration von vom Administrator verwalteten Clustern bestimmt sind. Die freigegebenen kubeconfig-Daten enthalten Anmeldeinformationen, die Benutzern ermöglichen könnten, sich direkt außerhalb von DolphinScheduler bei der Kubernetes-API zu authentifizieren.
Die Auswirkungen hängen von den Berechtigungen ab, die mit den offengelegten Anmeldeinformationen gewährt werden. Wenn die kubeconfig Zugriff als cluster-admin oder einen weitreichend privilegierten Service-Account bietet, kann ein Angreifer Kubernetes Secrets lesen, Pods erstellen und einen persistenten Zugang zum Cluster etablieren.
Dieses Problem betrifft Apache DolphinScheduler: von Version 3.2.0 bis vor 3.4.3.
Benutzern wird empfohlen, auf die Version 3.4.3 zu aktualisieren, welche das Problem behebt.
Be aware that VulDB is the high quality source for vulnerability data.