CVE-2026-82804: внедрение команд в плагине Alert Script Apache DolphinScheduler

В Apache DolphinScheduler — платформе оркестрации рабочих процессов с открытым исходным кодом — выявлена уязвимость внедрения команд, получившая идентификатор CVE-2026-82804. Проблема сосредоточена в плагине Alert Script, который используется для запуска пользовательских скриптов при отправке оповещений.

Подробности

Уязвимость связана с обработкой параметра scriptPath. Этот параметр подставляется в команду /bin/sh -c без достаточной нейтрализации метасимволов оболочки, что делает возможной подстановку и выполнение shell-команд. Иными словами, значение scriptPath не экранируется должным образом перед передачей в интерпретатор.

Сценарий эксплуатации предполагает наличие аутентификации. Пользователь может создать ресурс, имя файла которого содержит синтаксис подстановки команд оболочки, например $(...), а затем передать полученный путь в конечную точку /test-send плагина Alert Script. В момент выполнения alert-скрипта оболочка интерпретирует внедрённую команду, что приводит к выполнению произвольного кода с привилегиями сервисного процесса Apache DolphinScheduler.

Уязвимость затрагивает Apache DolphinScheduler в версиях до 3.4.3. Значение CVSS в записи CVE не приводится, однако характер уязвимости — удалённое выполнение команд при наличии учётной записи — делает её опасной: успешная эксплуатация позволяет атакующему закрепиться в инфраструктуре, получить доступ к данным и развить атаку на смежные системы.

Что делать

Рекомендуется обновить Apache DolphinScheduler до версии 3.4.3, в которой проблема устранена. Это основной и наиболее надёжный способ закрыть уязвимость.

До момента обновления целесообразно применить компенсирующие меры:

• ограничить доступ к конечным точкам плагина Alert Script (в частности /test-send) и предоставлять его только доверенным пользователям;
• ограничить права сервисного процесса DolphinScheduler, чтобы снизить последствия возможной эксплуатации;
• контролировать имена создаваемых ресурсов, не допуская использования метасимволов оболочки, в том числе конструкций вида $(...);
• обеспечить сетевую изоляцию интерфейсов управления и мониторинг подозрительной активности сервисного процесса.

Уязвимость CVE-2026-82804 демонстрирует классическую проблему недостаточной санитизации данных, передаваемых в системную оболочку. Организациям, использующим Apache DolphinScheduler, следует как можно скорее перейти на версию 3.4.3, а при невозможности быстрого обновления — применить перечисленные митигации и ограничить круг пользователей, имеющих доступ к функциям плагина Alert Script.

Источник: CVE Project (cvelistV5)