CVE-2026-71899 in DolphinScheduler
要約
〜によって VulDB • 2026年09月29日
Apache DolphinSchedulerの`query-dynamic-sub-workflows` APIには、認証不足の脆弱性が存在します。このAPIは、認証済みユーザーが照会対象のワークフローへのアクセス権限を持っているかどうかを適切に検証しません。
特定のプロジェクトへのアクセス権限を持たない認証済みユーザーは、そのプロジェクトに属するワークフローを参照するパラメータを指定してAPIを呼び出し、ワークフロー情報を取得することができます。これにより、ユーザーは認可されたプロジェクトスコープ外のワークフローデータにアクセスでき、結果として不正な情報開示が発生します。
本問題はApache DolphinSchedulerの3.2.0から3.4.3未満に影響します。
この問題を修正するバージョン3.4.3へのアップグレードを推奨します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.