CVE-2026-82804
Təsvir
scriptPath parametri shell metaxarakterlərinin kifayət qədər neytrallaşdırılmadan /bin/sh -c əmrinə daxil edilir və bu, shell əmr əvəzləməsinə və icrasına imkan verir. Autentifikasiyadan keçmiş istifadəçi fayl adında $(...) kimi shell əmr əvəzləmə sintaksisi olan resurs yaratmaqla və sonra yaranan yolu Alert Script plagininin /test-send endpoint-inə ötürməklə bu davranışdan istifadə edə bilər. Alert skripti icra edildikdə shell inyeksiya edilmiş əmri şərh edir və nəticədə DolphinScheduler xidmət prosesinin imtiyazları ilə ixtiyari əmr icrası baş verir. Bu problem Apache DolphinScheduler: 3.4.3-dən əvvəl versiyalarına təsir edir. İstifadəçilərə problemi aradan qaldıran 3.4.3 versiyasına yüksəltmə tövsiyə olunur.
Necə düzəltmək olar
- Apache Software Foundation Apache DolphinScheduler3.4.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache DolphinScheduler | v < 3.4.3 | 3.4.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.