Apache DolphinScheduler में संवेदनशील जानकारी का प्रकटीकरण (sensitive information disclosure) से असुरक्षित

Apache DolphinScheduler (CVE-2025-62188) में एक संवेदनशील जानकारी के प्रकटीकरण की भेद्यता की पहचान की गई है, जिसका CVSS स्कोर 7.5 है। यह भेद्यता अनधिकृत अभिनेताओं को गोपनीय जानकारी तक पहुंचने की अनुमति देती है, जिसमें डेटाबेस क्रेडेंशियल शामिल हैं। भेद्यता विशेष रूप से Apache DolphinScheduler के 3.1.x संस्करणों को प्रभावित करती है। इन क्रेडेंशियल्स का प्रकटीकरण एक हमलावर को DolphinScheduler डेटाबेस को समझौता करने, संवेदनशील डेटा तक पहुंचने और संभावित रूप से प्लेटफ़ॉर्म के वर्कफ़्लो को नियंत्रित करने की अनुमति दे सकता है। DolphinScheduler द्वारा प्रबंधित डेटा की अखंडता और गोपनीयता की रक्षा के लिए इस भेद्यता को संबोधित करना महत्वपूर्ण है।

Organizations utilizing Apache DolphinScheduler for workflow orchestration, particularly those running versions 3.1.0 through 3.1.9, are at risk. Shared hosting environments where DolphinScheduler instances are deployed alongside other applications are also particularly vulnerable due to the potential for cross-tenant access.

• linux / server:

journalctl -u dolphinscheduler-master -g "sensitive information"

• generic web:

curl -I http://<dolphinscheduler_host>/management/  # Check for exposed endpoints

1. 2026-04-09Disclosure

   disclosure

1. आरक्षित2025-10-08
2. प्रकाशित2026-04-09
3. संशोधित2026-04-10
4. EPSS अद्यतन2026-04-16

अनुशंसित समाधान Apache DolphinScheduler को संस्करण 3.2.0 या उच्चतर में अपग्रेड करना है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी शमन उपाय के रूप में, उजागर प्रबंधन एंडपॉइंट को प्रतिबंधित किया जा सकता है। यह एक्सेस नीतियों और फ़ायरवॉल को कॉन्फ़िगर करके किया जा सकता है ताकि इन एंडपॉइंट तक पहुंच केवल अधिकृत उपयोगकर्ताओं और सिस्टम तक ही सीमित हो। शोषण के जोखिम को कम करने के लिए मौजूदा सुरक्षा कॉन्फ़िगरेशन की समीक्षा और मजबूत करना महत्वपूर्ण है। इस भेद्यता को पूरी तरह से खत्म करने का सबसे प्रभावी तरीका नवीनतम संस्करण में अपग्रेड करना है।