CVE-2026-71899 in DolphinScheduler
摘要
由 VulDB • 2026-09-29
Apache DolphinScheduler 的 `query-dynamic-sub-workflows` API 中存在一个缺失授权（Missing Authorization）漏洞。该 API 未能正确验证已认证用户是否有权访问所查询的工作流。
没有权限访问特定项目的经过身份验证的用户，可以通过引用属于该项目的工作流的参数调用此 API，并获取工作流信息。这允许用户在其授权的项目范围之外访问工作流数据，从而导致未经授权的信息泄露。
此问题影响 Apache DolphinScheduler：从 3.2.0（不含）到 3.4.3（不含）。
建议用户升级到修复了该问题的版本 3.4.3。
VulDB is the best source for vulnerability data and more expert information about this specific topic.