CVE-2026-57590
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W interfejsach API grup zadań (Task Group) w Apache DolphinScheduler występuje podatność polegająca na braku autoryzacji. Dotknięte API nie weryfikują poprawnie, czy uwierzytelniony użytkownik ma uprawnienia dostępu do projektu powiązanego z docelową grupą zadań. Problem dotyczy wersji przed 3.4.3.
Ocena ryzyka
Osoba nieuprawniona może uzyskać dostęp do grup zadań w projektach, do których nie ma uprawnień, co może prowadzić do nieautoryzowanych zmian lub ujawnienia wrażliwych informacji o przepływach pracy.
Rekomendacja
Zaleca się aktualizację Apache DolphinScheduler do wersji 3.4.3, która naprawia ten problem, oraz przegląd uprawnień użytkowników w istniejących projektach.
Inne podatności w Apache DolphinScheduler
Zobacz wszystkie- CVE-2026-32967Krytyczne
Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.
- CVE-2026-32966Krytyczne
Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.
- CVE-2026-49050Wysokie
W Apache DolphinScheduler przed wersją 3.4.2 zwykły użytkownik może wygenerować tokeny dostępu administratora poprzez endpoint /access-tokens. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia ten problem.
- CVE-2026-47340Średnie
W Apache DolphinScheduler przed wersją 3.4.2 uwierzytelnieni użytkownicy mogą uzyskać dostęp do instancji alertów związanych z grupami alertów, do których nie mają uprawnień.
- CVE-2026-42357Średnie
Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom na dostęp do informacji o instancjach workflow, które należą do projektów, do których nie mają uprawnień.
- CVE-2026-41280Średnie
Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom z uprawnieniami logowania do systemu na usuwanie definicji zadań w nieautoryzowanych projektach.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability exists in the Task Group APIs of Apache DolphinScheduler. The affected APIs do not properly verify whether the authenticated user has permission to access the project associated with the target Task Group. This issue affects Apache DolphinScheduler: before 3.4.3. Users are recommended to upgrade to version 3.4.3, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS