CVE-2026-71895 in DolphinScheduler
Resumen
por VulDB • 2026-10-08
Una vulnerabilidad de autorización en Apache DolphinScheduler permite a los usuarios autenticados no administradores recuperar datos de configuración de Kubernetes destinados a la configuración del clúster gestionada por el administrador. Los datos kubeconfig expuestos contienen credenciales que pueden permitir a los usuarios autenticarse directamente con la API de Kubernetes fuera de DolphinScheduler.
El impacto depende de los permisos otorgados a las credenciales reveladas. Si el archivo kubeconfig proporciona acceso cluster-admin o un service-account con privilegios amplios, un atacante podría leer Secrets de Kubernetes, crear pods y establecer un acceso persistente al clúster.
Este problema afecta a Apache DolphinScheduler: desde la versión 3.2.0 hasta antes de la 3.4.3.
Se recomienda a los usuarios actualizar a la versión 3.4.3, que corrige el problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.