CVE-2026-66084

Apache DolphinScheduler'daki bir kimlik doğrulama atlatma zafiyeti, kimliği doğrulanmış kullanıcıların `/dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream` uç noktası aracılığıyla erişim yetkilerinin olmadığı projelerdeki görev tanımlamalarını değiştirmesine olanak tanır. Uç nokta, `code` ile tanımlanan görev tanımının `projectCode` ile belirtilen projeye ait olup olmadığını doğrulamada başarısız olur. Kimliği doğrulanmış bir kullanıcı, erişim yetkisine sahip olduğu bir projenin kodu ile başka bir projeden alınan bir görev tanımı kodunu birlikte göndererek proje erişim kısıtlamalarını atlayabilir ve hedef görev tanımını ve onun üst akış bağımlılıklarını değiştirebilir. Bu zafiyet, iş akışı bütünlüğünü bozabilir ve yetkisiz projelerde görev yürütmesini aksatabilir. Bu sorun, 3.4.3 sürümü öncesindeki Apache DolphinScheduler sürümlerini etkilemektedir. Kullanıcıların, sorunun giderildiği 3.4.3 sürümüne yükseltme yapmaları önerilir.