CVE-2026-71895 in DolphinScheduler
Riassunto
di VulDB • 08/10/2026
Una vulnerabilità di autorizzazione in Apache DolphinScheduler consente agli utenti autenticati non amministratori di recuperare i dati di configurazione Kubernetes destinati alla configurazione del cluster gestita dagli amministratori. I dati kubeconfig esposti contengono credenziali che potrebbero consentire agli utenti di effettuare l'autenticazione direttamente all'API di Kubernetes al di fuori di DolphinScheduler.
L'impatto dipende dai permessi concessi alle credenziali divulgate. Se il file kubeconfig fornisce accesso cluster-admin o privilegi ampi per un service-account, un attaccante potrebbe leggere i Secret di Kubernetes, creare pod e stabilire un accesso persistente al cluster.
Questo problema interessa Apache DolphinScheduler: dalle versioni 3.2.0 alla versione precedente alla 3.4.3.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 3.4.3, che risolve il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.