CVE-2026-66082

Apache DolphinScheduler-də aşkarlanan avtorizasiyadan yan keçmə zəifliyi autentifikasiya olunmuş istifadəçilərə digər layihələrdəki iş axını cədvəlləri (workflow schedules), iş axını tərifləri (workflow definitions) və tapşırıq nümunələri (task instances) üzərində icazəsiz əməliyyatlar yerinə yetirməyə imkan verir. Təsirə məruz qalan son nöqtələr (endpoints) icazələri təqdim edilmiş projectCode-a əsasən yoxlayır, lakin hədəf resursun həmin layihəyə aid olub-olmadığını yoxlamağı unudur. Bir layihədə lazımi icazələrə malik olan autentifikasiya olunmuş istifadəçi, həmin layihənin kodunu başqa bir layihədən götürülmüş resurs identifikatoru ilə birlikdə təqdim edərək hədəf layihənin giriş məhdudiyyətlərindən yan keçə bilər. Təsirə məruz qalan son nöqtələrə aşağıdakılar daxildir: * POST /projects/{projectCode}/schedules/{id}/online və /offline: Digər layihədəki iş axını cədvəllərini aktivləşdirmək və ya deaktiv etmək. * POST /projects/{projectCode}/workflow-definition/{code}/release: Digər layihədəki iş axını təriflərinin ONLINE/OFFLINE vəziyyətini dəyişmək. Zəifliyin uğurla istismar edilməsi istifadəçilərə giriş icazələrinin olmadığı layihələrdə iş axınının əlçatanlığını dəyişməyə və tapşırıqların icrasına müdaxilə etməyə imkan verir. Bu problem Apache DolphinScheduler-in 3.4.3 versiyasından əvvəlki versiyalarına təsir edir. İstifadəçilərə problemi aradan qaldıran 3.4.3 versiyasına yeniləmək tövsiyə olunur.