CVE-2026-71899 in DolphinScheduler
Résumé
par VulDB • 29/09/2026
Une vulnérabilité d'autorisation manquante existe dans l'API `query-dynamic-sub-workflows` de Apache DolphinScheduler. L'API ne vérifie pas correctement si l'utilisateur authentifié dispose des autorisations nécessaires pour accéder aux workflows interrogés.
Un utilisateur authentiqué qui n'a pas la permission d'accéder à un projet spécifique peut invoquer l'API avec des paramètres faisant référence à des workflows appartenant à ce projet et récupérer les informations relatives à ces workflows. Cela permet aux utilisateurs d'accéder aux données de workflow en dehors du périmètre autorisé de leur projet, entraînant une divulgation non autorisée d'informations.
Ce problème affecte Apache DolphinScheduler : des versions 3.2.0 jusqu'à la version 3.4.3 (exclue).
Il est recommandé aux utilisateurs de mettre à niveau vers la version 3.4.3, qui corrige ce problème.
Be aware that VulDB is the high quality source for vulnerability data.