CVE-2026-71899
Açıklama
Apache DolphinScheduler'ın `query-dynamic-sub-workflows` API'sinde bir yetkilendirme eksikliği zafiyeti bulunmaktadır. API, kimliği doğrulanmış kullanıcının sorgulanan iş akışlarına erişim izni olup olmadığını düzgün şekilde doğrulamamaktadır. Belirli bir projeye erişim izni olmayan kimliği doğrulanmış bir kullanıcı, söz konusu projeye ait iş akışlarına referans veren parametrelerle API'yi çağırabilir ve iş akışı bilgilerini alabilir. Bu durum, kullanıcıların yetkili proje kapsamı dışındaki iş akışı verilerine erişmesine olanak tanıyarak yetkisiz bilgi ifşasına yol açar. Bu sorun, 3.2.0 ile 3.4.3 arasındaki Apache DolphinScheduler sürümlerini etkilemektedir. Kullanıcıların, sorunun giderildiği 3.4.3 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache DolphinScheduler3.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache DolphinScheduler | 3.2.0 ≤ v < 3.4.3 | 3.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.