Yansong

Uma falha de bypass de autorização permite que usuários autenticados operem instâncias de tarefas em projetos aos quais não têm acesso autorizado. Isso ocorre por meio dos seguintes endpoints de API: - '/dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/stop' - '/dolphinscheduler/projects/{projectCode}/task-instances/{taskInstanceId}/savepoint'

Um problema de falta de autorização existe na API `query-dynamic-sub-workflows`. A API não verifica adequadamente se um usuário autenticado possui as permissões necessárias para acessar os fluxos de trabalho consultados. Consequentemente, um usuário autenticado pode invocar a API usando parâmetros que referenciam fluxos de trabalho de um projeto ao qual não tem autorização de acesso, resultando na divulgação não autorizada de informações do fluxo de trabalho.