CVE-2026-71895 in DolphinScheduler
Résumé
par VulDB • 08/10/2026
Une vulnérabilité d'autorisation dans Apache DolphinScheduler permet aux utilisateurs authentifiés non administrateurs de récupérer des données de configuration Kubernetes destinées à la configuration du cluster gérée par les administrateurs. Les données kubeconfig exposées contiennent des identifiants qui pourraient permettre aux utilisateurs de s'authentifier directement auprès de l'API Kubernetes en dehors de DolphinScheduler.
L'impact dépend des autorisations accordées aux identifiants divulgués. Si le fichier kubeconfig fournit un accès cluster-admin ou un compte de service largement privilégié, un attaquant peut lire les Secrets Kubernetes, créer des pods et établir un accès persistant au cluster.
Ce problème affecte Apache DolphinScheduler : à partir de la version 3.2.0 jusqu'à avant la 3.4.3.
Il est recommandé aux utilisateurs de mettre à niveau vers la version 3.4.3, qui corrige le problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.