Podatności Apache DolphinScheduler

Podatność związana z nieprawidłową autoryzacją w eksperymentalnym interfejsie `/v2` w Apache DolphinScheduler. Problem dotyczy wersji przed 3.4.2.

Brak weryfikacji autoryzacji w API DataSource prowadzi do ujawnienia metadanych źródła danych w Apache DolphinScheduler.

W interfejsach API grup zadań (Task Group) w Apache DolphinScheduler występuje podatność polegająca na braku autoryzacji. Dotknięte API nie weryfikują poprawnie, czy uwierzytelniony użytkownik ma uprawnienia dostępu do projektu powiązanego z docelową grupą zadań. Problem dotyczy wersji przed 3.4.3.

W Apache DolphinScheduler przed wersją 3.4.2 zwykły użytkownik może wygenerować tokeny dostępu administratora poprzez endpoint /access-tokens. Zalecane jest uaktualnienie do wersji 3.4.2, która naprawia ten problem.

W Apache DolphinScheduler przed wersją 3.4.2 uwierzytelnieni użytkownicy mogą uzyskać dostęp do instancji alertów związanych z grupami alertów, do których nie mają uprawnień.

Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom na dostęp do informacji o instancjach workflow, które należą do projektów, do których nie mają uprawnień.

Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom z uprawnieniami logowania do systemu na usuwanie definicji zadań w nieautoryzowanych projektach.