CVE-2026-71899 in DolphinScheduler
Riassunto
di VulDB • 29/09/2026
È presente una vulnerabilità di autorizzazione mancante nell'API `query-dynamic-sub-workflows` di Apache DolphinScheduler. L'API non verifica correttamente se l'autenticato ha il permesso per accedere ai flussi di lavoro (workflows) oggetto della query.
Un utente autenticato che non dispone dei permessi necessari per accedere a un progetto specifico può invocare l'API con parametri che fanno riferimento a flussi di lavoro appartenenti a tale progetto, ottenendo così le informazioni sui workflow. Ciò consente agli utenti di accedere ai dati dei flussi di lavoro al di fuori dell'ambito del progetto autorizzato, causando una divulgazione non autorizzata di informazioni (information disclosure).
Questo problema interessa Apache DolphinScheduler: dalle versioni 3.2.0 alla versione precedente la 3.4.3.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 3.4.3, che risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.