Thành Nguyễn

Uma falha de bypass de autorização permite que usuários autenticados realizem operações não autorizadas em cronogramas de fluxo de trabalho, definições de fluxo de trabalho e instâncias de tarefas em diferentes projetos. O sistema verifica as permissões com base no `projectCode` fornecido, mas não confirma se o recurso de destino realmente pertence a esse projeto. Consequentemente, um usuário com permissões em um projeto pode usar o código desse projeto junto com um identificador de recurso de outro projeto para ignorar as restrições de acesso. Isso permite que atacantes alterem a disponibilidade do fluxo de trabalho e interfiram na execução de tarefas em projetos não autorizados através dos seguintes endpoints: - 'POST /projects/{projectCode}/schedules/{id}/online' - 'POST /projects/{projectCode}/schedules/{id}/offline' - 'POST /projects/{projectCode}/workflow-definition/{code}/release'

Uma falha de bypass de autorização permite que usuários autenticados modifiquem definições de tarefas em projetos aos quais não têm acesso autorizado. O problema ocorre no endpoint '/dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream', que falha ao verificar se a definição de tarefa identificada por `code` pertence ao projeto especificado por `projectCode`. Um invasor pode fornecer um `projectCode` ao qual tem acesso junto com um `code` de outro projeto para ignorar as restrições e modificar a definição da tarefa alvo e suas dependências upstream. Aproximadamente 152.700 instâncias foram identificadas globalmente. Esta falha pode comprometer a integridade do fluxo de trabalho e interromper a execução de tarefas.

O endpoint '/datasources/unauth-datasource' não aplica corretamente a autorização de fontes de dados. Um usuário autenticado pode invocar este endpoint para obter informações sobre fontes de dados às quais não tem permissão de acesso, o que pode expor metadados sensíveis e configurações de fontes de dados.

Um problema de falta de autorização existe nas APIs de Task Group. As APIs afetadas não verificam adequadamente se um usuário autenticado possui as permissões necessárias para acessar o projeto vinculado ao Task Group alvo, permitindo potencialmente operações entre projetos não autorizadas.

Uma verificação de acesso inadequada permite acesso não autorizado aos endpoints do webservice.