CVE-2026-66083

Podatność nieprawidłowej autoryzacji w obsłudze zadań podrzędnych (sub-workflow) w Apache DolphinScheduler przed wersją 3.4.3. Uwierzytelniony użytkownik bez uprawnień do projektu docelowego może odwołać się i uruchomić przepływ pracy należący do tego projektu poprzez zadanie podrzędne. System nie weryfikuje poprawnie uprawnień użytkownika do wykonania odwołanego przepływu pracy ani dostępu do jego projektu, co pozwala na ominięcie kontroli autoryzacji na poziomie projektu i wykonanie przepływów pracy w nieautoryzowanych projektach.

Podatność obejścia uwierzytelniania w ochronie punktów końcowych Actuator w Apache DolphinScheduler przed wersją 3.4.3. Aplikacja określa, czy uwierzytelnianie jest wymagane, dopasowując ścieżkę żądania do chronionych ścieżek Actuator. Wysyłając specjalnie spreparowane żądanie zawierające ścieżkę z kodowaniem procentowym, zdalny nieuwierzytelniony atakujący może sprawić, że kontrola bezpieczeństwa nie rozpozna żądania jako skierowanego do chronionego punktu końcowego. W rezultacie atakujący może ominąć uwierzytelnianie i uzyskać dostęp do ograniczonych punktów końcowych Actuator, co może ujawnić informacje operacyjne lub konfiguracyjne oraz, w zależności od włączonych punktów końcowych i konfiguracji aplikacji, umożliwić dostęp do wrażliwych funkcji zarządzania.

Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi mającemu jedynie uprawnienia do odczytu projektu na modyfikację instancji przepływu pracy w tym projekcie poprzez endpoint PUT /projects/{projectCode}/workflow-instances/{id}. Endpoint nie wymusza uprawnień zapisu wymaganych dla tej operacji.

Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi na użycie endpointów batch-copy i batch-move do operowania na przepływach pracy w projektach, do których nie ma wymaganych uprawnień. Może to umożliwić kopiowanie lub przenoszenie przepływów pracy z nieautoryzowanych projektów.

Parametr scriptPath jest wstawiany do polecenia /bin/sh -c bez wystarczającej neutralizacji znaków specjalnych powłoki, co umożliwia podstawianie i wykonywanie poleceń powłoki. Uwierzytelniony użytkownik może utworzyć zasób, którego nazwa pliku zawiera składnię podstawiania poleceń, np. $(...), a następnie przekazać wynikową ścieżkę do endpointu /test-send wtyczki Alert Script. Podczas wykonywania skryptu alertu powłoka interpretuje wstrzyknięte polecenie, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu usługi DolphinScheduler.

Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.

Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.

W Apache DolphinScheduler istnieje brak autoryzacji w API `query-dynamic-sub-workflows`. API nie weryfikuje poprawnie, czy uwierzytelniony użytkownik ma uprawnienia do dostępu do zapytywanych przepływów pracy. Użytkownik bez uprawnień do konkretnego projektu może pobrać informacje o przepływach pracy należących do tego projektu, co prowadzi do nieautoryzowanego ujawnienia informacji.

W interfejsach API grup zadań (Task Group) w Apache DolphinScheduler występuje podatność polegająca na braku autoryzacji. Dotknięte API nie weryfikują poprawnie, czy uwierzytelniony użytkownik ma uprawnienia dostępu do projektu powiązanego z docelową grupą zadań. Problem dotyczy wersji przed 3.4.3.

W Apache DolphinScheduler przed wersją 3.4.2 zwykły użytkownik może wygenerować tokeny dostępu administratora poprzez endpoint /access-tokens. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia ten problem.