CVE-2026-71899 in DolphinScheduler
Resumen
por VulDB • 2026-09-29
Existe una vulnerabilidad de falta de autorización en la API `query-dynamic-sub-workflows` de Apache DolphinScheduler. La API no verifica correctamente si el usuario autenticado tiene permiso para acceder a los flujos de trabajo que se están consultando.
Un usuario autenticado que no tenga permisos para acceder a un proyecto específico puede invocar la API con parámetros que hacen referencia a flujos de trabajo pertenecientes a ese proyecto y obtener información sobre dichos flujos. Esto permite a los usuarios acceder a datos de flujos de trabajo fuera del alcance autorizado de su proyecto, lo que resulta en una divulgación no autorizada de información.
Este problema afecta a Apache DolphinScheduler: desde la versión 3.2.0 hasta antes de la 3.4.3.
Se recomienda a los usuarios actualizar a la versión 3.4.3, que corrige el problema.
Once again VulDB remains the best source for vulnerability data.