« Volver al listado

CVE-2026-71183

Estado: AplazadaAlta (7.1)—

Una vulnerabilidad de autorización en Apache DolphinScheduler permite a usuarios autenticados obtener información sobre orígenes de datos a los que no están autorizados a acceder a través de los endpoints /unauth-datasource y /authed-datasource.

Estos endpoints no aplican los controles de acceso a orígenes de datos necesarios y devuelven información de conexión confidencial, incluidas las contraseñas de los orígenes de datos. Como resultado, un usuario autenticado sin permiso para acceder a un origen de datos puede obtener sus datos de conexión y credenciales.

Una explotación con éxito expone información confidencial de los orígenes de datos y puede permitir el acceso no autorizado a las bases de datos subyacentes utilizando las credenciales divulgadas.

Leer descripción completaMostrar menos

Este problema afecta a Apache DolphinScheduler: anterior a 3.4.3.

Se recomienda a los usuarios actualizar a la versión 3.4.3, que corrige el problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en endpoints remotos de DolphinScheduler (AV:N, PR:L) que expone credenciales de bases de datos sin validación de acceso; permite obtener contraseñas y facilita acceso no autorizado a recursos subyacentes.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementNetwork SegmentationVulnerability ScanningUser Account ManagementThreat Intelligence ProgramPassword Policies

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — DolphinschedulerAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-71183",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-71183",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T13:11:37.705178Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.1,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 4.2,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache DolphinScheduler",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "lessThan": "3.4.3",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:maven/org.apache.dolphinscheduler/dolphinscheduler-api",
          "packageName": "org.apache.dolphinscheduler:dolphinscheduler-api",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T09:16:42.037",
  "references": [
    {
      "url": "https://lists.apache.org/thread.html/9g0fx2kdqv9nj20k759shhly3vpg96mw",
      "source": "security@apache.org"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/08/4",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "An authorization vulnerability in Apache DolphinScheduler allows authenticated users to obtain information about data sources they are not authorized to access through the /unauth-datasource and /authed-datasource endpoints.\n\n\n\nThese endpoints fail to enforce the required data source access controls and return sensitive connection information, including data source passwords. As a result, an authenticated user without permission to access a data source can retrieve its connection details and credentials.\n\n\n\nSuccessful exploitation exposes sensitive data source information and may enable unauthorized access to the underlying databases using the disclosed credentials.\n\n\n\nThis issue affects Apache DolphinScheduler: before 3.4.3.\n\n\n\nUsers are recommended to upgrade to version 3.4.3, which fixes the issue."
    }
  ],
  "lastModified": "2026-10-08T17:25:38.450",
  "sourceIdentifier": "security@apache.org"
}