CVE-2026-78214
ŚrednieCVSS 5.3Streszczenie
Podatność obejścia uwierzytelniania w ochronie punktów końcowych Actuator w Apache DolphinScheduler przed wersją 3.4.3. Aplikacja określa, czy uwierzytelnianie jest wymagane, dopasowując ścieżkę żądania do chronionych ścieżek Actuator. Wysyłając specjalnie spreparowane żądanie zawierające ścieżkę z kodowaniem procentowym, zdalny nieuwierzytelniony atakujący może sprawić, że kontrola bezpieczeństwa nie rozpozna żądania jako skierowanego do chronionego punktu końcowego. W rezultacie atakujący może ominąć uwierzytelnianie i uzyskać dostęp do ograniczonych punktów końcowych Actuator, co może ujawnić informacje operacyjne lub konfiguracyjne oraz, w zależności od włączonych punktów końcowych i konfiguracji aplikacji, umożliwić dostęp do wrażliwych funkcji zarządzania.
Ocena ryzyka
Zdalny nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych informacji i funkcji zarządzania, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj Apache DolphinScheduler do wersji 3.4.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Apache DolphinScheduler
Zobacz wszystkie- CVE-2026-81569Średnie
Podatność nieprawidłowej autoryzacji w obsłudze zadań podrzędnych (sub-workflow) w Apache DolphinScheduler przed wersją 3.4.3. Uwierzytelniony użytkownik bez uprawnień do projektu docelowego może odwołać się i uruchomić przepływ pracy należący do tego projektu poprzez zadanie podrzędne. System nie weryfikuje poprawnie uprawnień użytkownika do wykonania odwołanego przepływu pracy ani dostępu do jego projektu, co pozwala na ominięcie kontroli autoryzacji na poziomie projektu i wykonanie przepływów pracy w nieautoryzowanych projektach.
- CVE-2026-71898Średnie
Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi mającemu jedynie uprawnienia do odczytu projektu na modyfikację instancji przepływu pracy w tym projekcie poprzez endpoint PUT /projects/{projectCode}/workflow-instances/{id}. Endpoint nie wymusza uprawnień zapisu wymaganych dla tej operacji.
- CVE-2026-71897Średnie
Nieprawidłowa kontrola autoryzacji w Apache DolphinScheduler pozwala uwierzytelnionemu użytkownikowi na użycie endpointów batch-copy i batch-move do operowania na przepływach pracy w projektach, do których nie ma wymaganych uprawnień. Może to umożliwić kopiowanie lub przenoszenie przepływów pracy z nieautoryzowanych projektów.
- CVE-2026-82804Wysokie
Parametr scriptPath jest wstawiany do polecenia /bin/sh -c bez wystarczającej neutralizacji znaków specjalnych powłoki, co umożliwia podstawianie i wykonywanie poleceń powłoki. Uwierzytelniony użytkownik może utworzyć zasób, którego nazwa pliku zawiera składnię podstawiania poleceń, np. $(...), a następnie przekazać wynikową ścieżkę do endpointu /test-send wtyczki Alert Script. Podczas wykonywania skryptu alertu powłoka interpretuje wstrzyknięte polecenie, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu usługi DolphinScheduler.
- CVE-2026-66083Średnie
Endpoint /datasources/unauth-datasource nie egzekwuje poprawnie autoryzacji źródeł danych. Uwierzytelniony użytkownik może wywołać ten endpoint, aby uzyskać informacje o źródłach danych, do których nie ma uprawnień. Może to ujawnić konfigurację źródeł danych i inne wrażliwe metadane. Problem dotyczy Apache DolphinScheduler przed wersją 3.4.3.
- CVE-2026-32967Krytyczne
Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.
- CVE-2026-32966Krytyczne
Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.
- CVE-2026-71899Średnie
W Apache DolphinScheduler istnieje brak autoryzacji w API `query-dynamic-sub-workflows`. API nie weryfikuje poprawnie, czy uwierzytelniony użytkownik ma uprawnienia do dostępu do zapytywanych przepływów pracy. Użytkownik bez uprawnień do konkretnego projektu może pobrać informacje o przepływach pracy należących do tego projektu, co prowadzi do nieautoryzowanego ujawnienia informacji.
- CVE-2026-57590Wysokie
W interfejsach API grup zadań (Task Group) w Apache DolphinScheduler występuje podatność polegająca na braku autoryzacji. Dotknięte API nie weryfikują poprawnie, czy uwierzytelniony użytkownik ma uprawnienia dostępu do projektu powiązanego z docelową grupą zadań. Problem dotyczy wersji przed 3.4.3.
- CVE-2026-49050Wysokie
W Apache DolphinScheduler przed wersją 3.4.2 zwykły użytkownik może wygenerować tokeny dostępu administratora poprzez endpoint /access-tokens. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia ten problem.
Oryginalny opis (angielski, źródło NVD)
An authentication bypass vulnerability exists in the protection of Actuator endpoints. The application determines whether authentication is required by matching the incoming request path against protected Actuator paths. By sending a specially crafted request containing a percent-encoded path, a remote unauthenticated attacker can cause the security check to fail to recognize the request as targeting a protected endpoint. As a result, the attacker may bypass authentication and access otherwise restricted Actuator endpoints. Successful exploitation may expose operational or configuration information and, depending on the enabled endpoints and application configuration, allow access to sensitive management functionality. This issue affects Apache DolphinScheduler: before 3.4.3. Users are recommended to upgrade to version 3.4.3, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS