Cyber ·
CVE-2026-66087: bypass de autorização em paradas e savepoints no Apache DolphinScheduler
Aviso moderado sobre o Apache DolphinScheduler: usuários autenticados podem parar instâncias de tarefas e criar savepoints em projetos sem autorização. Versões anteriores à 3.4.3 são afetadas.
Segundo a tradução automática de um aviso publicado na lista oss-sec, em 7 de outubro, por Wenjun Ruan, a CVE-2026-66087 é uma falha de bypass de autorização no Apache DolphinScheduler. Ela afeta versões anteriores à 3.4.3 e recebeu gravidade moderada. Usuários autenticados podem operar instâncias de tarefas em projetos aos quais não deveriam ter acesso, por meio dos endpoints de parada e de savepoint de instâncias de tarefas. O texto de origem é curto e termina de forma incompleta, então a versão original em inglês deve ser consultada antes de qualquer decisão. Para verificar, localize o aviso no arquivo público da lista oss-sec pelo identificador CVE e confira a data, a gravidade e a lista de versões afetadas. Em seguida, veja a versão do DolphinScheduler usada na sua organização e siga as orientações oficiais do projeto para atualização. Este registro não descreve um exploit nem um procedimento de teste.