CVE-2026-81569
ŚrednieCVSS 4.3Streszczenie
Podatność nieprawidłowej autoryzacji w obsłudze zadań podrzędnych (sub-workflow) w Apache DolphinScheduler przed wersją 3.4.3. Uwierzytelniony użytkownik bez uprawnień do projektu docelowego może odwołać się i uruchomić przepływ pracy należący do tego projektu poprzez zadanie podrzędne. System nie weryfikuje poprawnie uprawnień użytkownika do wykonania odwołanego przepływu pracy ani dostępu do jego projektu, co pozwala na ominięcie kontroli autoryzacji na poziomie projektu i wykonanie przepływów pracy w nieautoryzowanych projektach.
Ocena ryzyka
Uwierzytelniony użytkownik może wykonywać przepływy pracy w projektach, do których nie ma uprawnień, co może prowadzić do nieautoryzowanego dostępu do zasobów i danych.
Rekomendacja
Zaktualizuj Apache DolphinScheduler do wersji 3.4.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Apache DolphinScheduler
Zobacz wszystkie- CVE-2026-78214Średnie
Podatność obejścia uwierzytelniania w ochronie punktów końcowych Actuator w Apache DolphinScheduler przed wersją 3.4.3. Aplikacja określa, czy uwierzytelnianie jest wymagane, dopasowując ścieżkę żądania do chronionych ścieżek Actuator. Wysyłając specjalnie spreparowane żądanie zawierające ścieżkę z kodowaniem procentowym, zdalny nieuwierzytelniony atakujący może sprawić, że kontrola bezpieczeństwa nie rozpozna żądania jako skierowanego do chronionego punktu końcowego. W rezultacie atakujący może ominąć uwierzytelnianie i uzyskać dostęp do ograniczonych punktów końcowych Actuator, co może ujawnić informacje operacyjne lub konfiguracyjne oraz, w zależności od włączonych punktów końcowych i konfiguracji aplikacji, umożliwić dostęp do wrażliwych funkcji zarządzania.
- CVE-2026-71898Średnie
Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi mającemu jedynie uprawnienia do odczytu projektu na modyfikację instancji przepływu pracy w tym projekcie poprzez endpoint PUT /projects/{projectCode}/workflow-instances/{id}. Endpoint nie wymusza uprawnień zapisu wymaganych dla tej operacji.
- CVE-2026-71897Średnie
Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi na użycie endpointów batch-copy i batch-move do operowania na przepływach pracy w projektach, do których nie ma wymaganych uprawnień. Może to umożliwić kopiowanie lub przenoszenie przepływów pracy z nieautoryzowanych projektów.
- CVE-2026-82804Wysokie
Parametr scriptPath jest wstawiany do polecenia /bin/sh -c bez wystarczającej neutralizacji znaków specjalnych powłoki, co umożliwia podstawianie i wykonywanie poleceń powłoki. Uwierzytelniony użytkownik może utworzyć zasób, którego nazwa pliku zawiera składnię podstawiania poleceń, np. $(...), a następnie przekazać wynikową ścieżkę do endpointu /test-send wtyczki Alert Script. Podczas wykonywania skryptu alertu powłoka interpretuje wstrzyknięte polecenie, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu usługi DolphinScheduler.
- CVE-2026-32967Krytyczne
Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.
- CVE-2026-32966Krytyczne
Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.
- CVE-2026-71896Średnie
Podatność w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na pobieranie informacji o kontach innych użytkowników przez endpoint /dolphinscheduler/users/list-all bez wymaganych uprawnień. Endpoint nie egzekwuje niezbędnych kontroli autoryzacji przed zwróceniem informacji o kontach użytkowników. Skuteczne wykorzystanie może ujawnić wrażliwe informacje o użytkownikach i ułatwić enumerację kont. Problem dotyczy wersji przed 3.4.3.
- CVE-2026-71895Wysokie
Podatność autoryzacyjna w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom niebędącym administratorami na pobieranie danych konfiguracyjnych Kubernetes przeznaczonych dla administratorów. Ujawnione dane kubeconfig zawierają poświadczenia, które mogą umożliwić bezpośrednie uwierzytelnienie do API Kubernetes poza DolphinScheduler.
- CVE-2026-71183Wysokie
Podatność autoryzacyjna w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom uzyskać informacje o źródłach danych, do których nie mają uprawnień, poprzez endpointy /unauth-datasource i /authed-datasource. Endpointy te nie egzekwują kontroli dostępu i zwracają wrażliwe informacje o połączeniu, w tym hasła do źródeł danych.
- CVE-2026-66087Wysokie
Podatność polegająca na obejściu autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionym użytkownikom na operowanie instancjami zadań w projektach, do których nie mają uprawnień, poprzez endpointy /dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop oraz /savepoint.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability exists in the handling of sub-workflow tasks. An authenticated user who does not have permission to access a target project can reference and invoke a workflow belonging to that project through a sub-workflow task. The system does not properly verify whether the user has permission to execute the referenced workflow or access its project. As a result, the user can bypass project-level authorization controls and cause workflows in unauthorized projects to be executed. Successful exploitation may allow unauthorized execution of workflow tasks and access to the resources or data available to the target workflow. This issue affects Apache DolphinScheduler: before 3.4.3. Users are recommended to upgrade to version 3.4.3, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS