CVE-2026-71895 in DolphinScheduler
Tóm tắt
Bởi VulDB • 08/10/2026
Một lỗ hổng xác thực trong Apache DolphinScheduler cho phép người dùng đã đăng nhập nhưng không có quyền quản trị viên (non-admin) truy xuất dữ liệu cấu hình Kubernetes dự định dành riêng cho việc cấu hình cụm do quản trị viên kiểm soát. Dữ liệu kubeconfig bị lộ chứa các thông tin xác thực, có thể cho phép người dùng tự động xác thực trực tiếp với API của Kubernetes bên ngoài DolphinScheduler.
Mức độ tác động phụ thuộc vào các quyền được cấp cho các thông tin xác thực bị tiết lộ. Nếu tệp kubeconfig cung cấp quyền cluster-admin hoặc quyền truy cập rộng rãi dưới dạng service-account, kẻ tấn công có thể đọc các Secrets trong Kubernetes, tạo pod và thiết lập khả năng truy cập lâu dài (persistent access) vào cụm.
Vấn đề này ảnh hưởng đến Apache DolphinScheduler: từ phiên bản 3.2.0 trở đi cho đến trước 3.4.3.
Người dùng được khuyến nghị nâng cấp lên phiên bản 3.4.3, phiên bản đã khắc phục sự cố này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.