PT-2024-19808 · Apache · Apache Dolphinscheduler

Eluen Siebene + 3 · Publicado 2024-02-23 · Atualizado 2025-03-18 · CVE-2024-23320

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Apache DolphinScheduler (versões afetadas não especificadas)

Descrição

O problema diz respeito a uma vulnerabilidade de validação inadequada de entradas, permitindo que um usuário autenticado execute código JavaScript arbitrário e fora do ambiente sandbox no servidor. Isso pode levar à execução arbitrária de código JavaScript com privilégios de root por usuários autenticados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2024-23320

GHSA-RC6H-QWJ9-2C53

Produtos afetados

Apache Dolphinscheduler

Referências · 13

• https://github.com/apache/dolphinscheduler · Nota
• https://github.com/apache/dolphinscheduler/pull/15487 · Correção
• https://github.com/apache/dolphinscheduler/commit/ef9ed3db55cb1647886b06c2b2c6a5cfcdccfb5c · Nota
• http://openwall.com/lists/oss-security/2024/02/23/3 · Nota
• https://twitter.com/CVEnew/status/1761076824392499487 · Publicação no Twitter
• https://lists.apache.org/thread/25qhfvlksozzp6j9y8ozznvjdjp3lxqq · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23320 · Nota de Segurança
• https://lists.apache.org/thread/p7rwzdgrztdfps8x1bwx646f1mn0x6cp · Aviso do Fabricante
• https://lists.apache.org/thread/tnf99qoc6tlnwrny4t1zk6mfszgdsokm · Aviso do Fabricante
• https://t.me/cvenotify/115215 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rc6h-qwj9-2c53 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-23320 · Aviso do Fabricante
• https://twitter.com/oss_security/status/1761081783393681822 · Publicação no Twitter