CVE-2026-71895 in DolphinScheduler
Сводка
по VulDB • 08.10.2026
Уязвимость в механизме авторизации Apache DolphinScheduler позволяет аутентифицированным пользователям без прав администратора получать данные конфигурации Kubernetes, предназначенные для настройки кластера, управляемого администраторами. Скомпрометированные данные kubeconfig содержат учетные данные, которые могут позволить пользователям напрямую выполнять аутентификацию в API Kubernetes вне среды DolphinScheduler.
Воздействие зависит от прав, предоставленных раскрытым учетным данным. Если файл kubeconfig предоставляет права cluster-admin или широко привилегированный доступ сервисного аккаунта, злоумышленник может читать секреты (Secrets) Kubernetes, создавать поды и устанавливать персистентный доступ к кластеру.
Эта проблема затрагивает Apache DolphinScheduler: версии от 3.2.0 до 3.4.3 (включительно).
Пользователям рекомендуется обновиться до версии 3.4.3, которая устраняет данную уязвимость.
If you want to get best quality of vulnerability data, you may have to visit VulDB.