CVE-2026-71899 in DolphinScheduler
Zusammenfassung
von VulDB • 29.09.2026
In der `query-dynamic-sub-workflows`-API von Apache DolphinScheduler besteht eine Schwachstelle aufgrund fehlender Autorisierung. Die API überprüft nicht ordnungsgemäß, ob der authentifizierte Benutzer über die Berechtigung zum Zugriff auf die abgefragten Workflows verfügt.
Ein authentifizierter Benutzer, der keine Berechtigung zum Zugriff auf ein bestimmtes Projekt hat, kann die API mit Parametern aufrufen, die sich auf Workflows dieses Projekts beziehen, und Workflow-Informationen abrufen. Dies ermöglicht Benutzern den Zugriff auf Workflow-Daten außerhalb ihres autorisierten Projektumfangs, was zu einer unbefugten Offenlegung von Informationen führt.
Dieses Problem betrifft Apache DolphinScheduler: Versionen ab 3.2.0 vor 3.4.3.
Es wird empfohlen, auf die Version 3.4.3 zu aktualisieren, welche das Problem behebt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.