CVE-2026-71896
Açıklama
Apache DolphinScheduler'daki bir yetkilendirme zafiyeti, kimliği doğrulanmış kullanıcıların gerekli izinlere sahip olmadan /dolphinscheduler/users/list-all uç noktası üzerinden diğer kullanıcıların hesap bilgilerini almasına olanak tanır. Uç nokta, kullanıcı hesap bilgilerini döndürmeden önce gerekli yetkilendirme kontrollerini uygulamada başarısız olur. Sonuç olarak, kimliği doğrulanmış bir kullanıcı, görüntüleme yetkisine sahip olmadığı hesap bilgilerine erişebilir. Başarılı bir istismar, hassas kullanıcı bilgilerini açığa çıkarabilir ve hesap numarasını belirlemeyi (account enumeration) kolaylaştırabilir. Bu sorun şu sürümleri etkilemektedir: Apache DolphinScheduler 3.4.3 öncesi. Kullanıcıların, sorunu gideren 3.4.3 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache DolphinScheduler3.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache DolphinScheduler | v < 3.4.3 | 3.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.