CVE-2026-47340
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Apache DolphinScheduler przed wersją 3.4.2 uwierzytelnieni użytkownicy mogą uzyskać dostęp do instancji alertów związanych z grupami alertów, do których nie mają uprawnień.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do wrażliwych informacji w systemie, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.4.2, która naprawia tę podatność.
Inne podatności w Apache DolphinScheduler
Zobacz wszystkie- CVE-2026-32967Krytyczne
Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.
- CVE-2026-32966Krytyczne
Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.
- CVE-2026-49050Wysokie
W Apache DolphinScheduler przed wersją 3.4.2 zwykły użytkownik może wygenerować tokeny dostępu administratora poprzez endpoint /access-tokens. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia ten problem.
- CVE-2026-42357Średnie
Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom na dostęp do informacji o instancjach workflow, które należą do projektów, do których nie mają uprawnień.
- CVE-2026-41280Średnie
Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom z uprawnieniami logowania do systemu na usuwanie definicji zadań w nieautoryzowanych projektach.
Oryginalny opis (angielski, źródło NVD)
Allow authenticated users to access alert instances associated with alert groups they do not have permission to access. in Apache DolphinScheduler. This issue affects Apache DolphinScheduler: before 3.4.2. Users are recommended to upgrade to version 3.4.2, which fixes the issue.