« Volver al listado

CVE-2026-66084

Estado: AplazadaAlta (8.1)—

Una vulnerabilidad de omisión de autorización en Apache DolphinScheduler permite a usuarios autenticados modificar definiciones de tareas en proyectos a los que no están autorizados a acceder a través del endpoint /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream.

El endpoint no verifica que la definición de tarea identificada por code pertenezca al proyecto especificado por projectCode. Un usuario autenticado puede proporcionar el código de un proyecto al que está autorizado a acceder junto con el código de una definición de tarea de otro proyecto, eludiendo las restricciones de acceso al proyecto y modificando la definición de tarea objetivo y sus dependencias ascendentes.

Leer descripción completaMostrar menos

Esta vulnerabilidad puede comprometer la integridad de los flujos de trabajo e interrumpir la ejecución de tareas en proyectos no autorizados. Este problema afecta a Apache DolphinScheduler: anterior a 3.4.3.

Se recomienda a los usuarios actualizar a la versión 3.4.3, que corrige el problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Acceso remoto autenticado (PR:L) a servicio interno; bypass de autorización permite modificar tareas en proyectos no autorizados. Impacto: abuso de cuenta (T1078.001) y manipulación de definiciones de workflow (T1565.001).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningThreat Intelligence ProgramRestrict File and Directory PermissionsPrivileged Account ManagementPassword PoliciesRemote Data Storage

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — DolphinschedulerAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-66084",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-66084",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T20:20:18.656783Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.1,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache DolphinScheduler",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "lessThan": "3.4.3",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:maven/org.apache.dolphinscheduler/dolphinscheduler-api",
          "packageName": "org.apache.dolphinscheduler:dolphinscheduler-api",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T09:16:41.783",
  "references": [
    {
      "url": "https://lists.apache.org/thread.html/cn6v1m8pfnjn7rsqkq1xow8v63pw27w2",
      "source": "security@apache.org"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/08/2",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "An authorization bypass vulnerability in Apache DolphinScheduler allows authenticated users to modify task definitions in projects they are not authorized to access through the /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream endpoint.\n\n\n\nThe endpoint fails to verify that the task definition identified by code belongs to the project specified by projectCode. An authenticated user can supply the code of a project they are authorized to access together with a task definition code from another project, bypassing project access restrictions and modifying the target task definition and its upstream dependencies.\n\n\n\nThis vulnerability can compromise workflow integrity and disrupt task execution in unauthorized projects.This issue affects Apache DolphinScheduler: before 3.4.3.\n\n\n\nUsers are recommended to upgrade to version 3.4.3, which fixes the issue."
    }
  ],
  "lastModified": "2026-10-08T21:18:01.973",
  "sourceIdentifier": "security@apache.org"
}