CVE-2026-82804

scriptPath parametresi, kabuk meta karakterlerinin yeterince etkisiz hale getirilmeden bir /bin/sh -c komutuna dahil edilmektedir; bu durum kabuk komutu ikamesine ve yürütülmesine olanak tanır. Kimliği doğrulanmış bir kullanıcı, dosya adı $(...) gibi kabuk komutu ikame sözdizimi içeren bir kaynak oluşturarak ve ardından ortaya çıkan yolu Alert Script eklentisinin /test-send uç noktasına ileterek bu davranışı istismar edebilir. Uyarı betiği çalıştırıldığında, kabuk enjekte edilen komutu yorumlar ve bu da DolphinScheduler servis sürecinin ayrıcalıklarıyla rastgele komut yürütülmesiyle sonuçlanır. Bu sorun Apache DolphinScheduler'ın 3.4.3 öncesi sürümlerini etkilemektedir. Kullanıcıların sorunu gideren 3.4.3 sürümüne yükseltme yapmaları önerilir.