CVE-2026-66082

Apache DolphinScheduler'daki bir kimlik doğrulama atlatma zafiyeti, kimliği doğrulanmış kullanıcıların diğer projelerdeki iş akışı zamanlamaları, iş akışı tanımları ve görev örnekleri üzerinde yetkisiz işlemler gerçekleştirmesine olanak tanır. Etkilenen uç noktalar, izinleri sağlanan projectCode üzerinden kontrol eder ancak hedef kaynağın bu projeye ait olup olmadığını doğrulamada başarısız olur. Bir projede gerekli izinlere sahip olan kimliği doğrulanmış bir kullanıcı, söz konusu projenin kodunu başka bir projeden alınan bir kaynak tanımlayıcısı ile birlikte göndererek hedef projenin erişim kısıtlamalarını atlayabilir. Etkilenen uç noktalar şunlardır: * POST /projects/{projectCode}/schedules/{id}/online ve /offline: Başka bir projedeki iş akışı zamanlamalarını etkinleştirir veya devre dışı bırakır. * POST /projects/{projectCode}/workflow-definition/{code}/release: Başka bir projedeki iş akışı tanımlarının ONLINE/OFFLINE durumunu değiştirir. Başarılı bir istismar, kullanıcıların erişim yetkisine sahip olmadıkları projelerde iş akışı kullanılabilirliğini değiştirmelerine ve görev yürütmesine müdahale etmelerine olanak tanır. Bu sorun şu sürümleri etkilemektedir: Apache DolphinScheduler 3.4.3 öncesi. Kullanıcıların sorunu gideren 3.4.3 sürümüne yükseltmeleri önerilir.