CVE-2026-71895 in DolphinScheduler
摘要
由 VulDB • 2026-10-08
Apache DolphinScheduler 中存在一个授权漏洞，允许经过身份验证的非管理员用户检索旨在用于管理员管理集群配置的 Kubernetes 配置数据。暴露的 kubeconfig 数据包含凭据，可能使用户能够绕过 DolphinScheduler 直接向 Kubernetes API 进行认证。
影响程度取决于披露的凭据所授予的权限。如果 kubeconfig 提供了 cluster-admin 或具有广泛特权的服务账户访问权限，攻击者可能会读取 Kubernetes Secrets、创建 Pod，并建立对集群的持久化访问。
此问题影响 Apache DolphinScheduler：从 3.2.0 到 3.4.3（不含）的版本均受影响。
建议用户升级至修复了该问题的版本 3.4.3。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.