취약점 연구

2026년 5월 26일 보고했습니다. 제보가 인정되었으며, 벤더가 코드 수정을 확인했습니다. 9월 2일 릴리스 계보 검토와 해당 수정에 대한 회귀 테스트를 통해 수정이 1.16.0에 포함되어 배포되었고 1.17.0에도 유지됨을 확인했습니다. 권고문과 CVE 공개는 대기 중입니다.

벤더

제보 인정

수정

1.16.0부터 배포

CVE

예약됨

공개

권고문 공개 대기 중

심각도

Medium / 6.3

DolphinScheduler의 Task Group API는 인증된 사용자가 대상 Task Group에 연결된 프로젝트에 접근할 수 있는지 적절히 확인하지 않았습니다. 이로 인해 프로젝트 경계를 넘어 권한 없는 작업이 수행될 수 있었습니다.

벤더

확인

수정

벤더 발표 기준 3.4.3에서 수정

CVE

공개됨

공개

공개됨

심각도

Apache: Low (수치 점수 없음) · CISA-ADP: High 8.1 (CVSS 3.1)

DolphinScheduler의 일괄 복사·이동 작업은 대상 워크플로의 프로젝트 권한을 올바르게 검사하지 않았습니다. 인증된 사용자가 접근 권한이 없는 프로젝트의 워크플로를 복사하거나 이동할 수 있었습니다.

벤더

확인

수정

벤더 발표 기준 3.4.3에서 수정

CVE

공개됨

공개

공개됨

심각도

Apache: Moderate (수치 점수 없음) · CISA-ADP: Medium 4.3 (CVSS 3.1)

DolphinScheduler는 요청에 지정된 프로젝트의 권한을 검사했지만, 대상 워크플로나 스케줄이 그 프로젝트에 속하는지는 확인하지 않았습니다. 한 프로젝트에서 필요한 권한을 가진 인증된 사용자가 다른 프로젝트의 워크플로 릴리스 상태와 스케줄 상태를 변경할 수 있었습니다.

벤더

확인

수정

벤더 발표 기준 3.4.3에서 수정

CVE

공개됨

공개

공개됨

심각도

Apache: Moderate (수치 점수 없음) · CISA-ADP: Medium 6.5 (CVSS 3.1)

DolphinScheduler의 작업 정의 update-with-upstream 기능은 요청에 지정된 프로젝트의 쓰기 권한을 검사했지만, 대상 작업 정의가 그 프로젝트에 속하는지는 확인하지 않았습니다. 인증된 사용자가 접근 권한이 없는 프로젝트의 작업 정의와 선행 작업 의존성을 수정할 수 있었습니다.

벤더

확인

수정

벤더 발표 기준 3.4.3에서 수정

CVE

공개됨

공개

공개됨

심각도

Apache: Moderate (수치 점수 없음) · CISA-ADP: High 8.1 (CVSS 3.1)

ToolJet DB는 호출자가 현재 워크스페이스에서 가진 역할을 검사했지만, 테이블 관리 요청이 같은 워크스페이스를 대상으로 하는지는 확인하지 않았습니다. 워크스페이스 관리자가 다른 워크스페이스의 테이블을 생성하거나 삭제하고, 테이블 메타데이터를 조회할 수 있었습니다.

벤더

제보 인정

수정

v3.20.207-lts의 소스에서 확인

CVE

GHSA에 73068 기재

공개

공개됨

심각도

ToolJet GHSA: Moderate 6.8 (CVSS 3.1)

2026년 6월 30일 보고했으며, 2026년 9월 2일 제보자 크레딧과 함께 제보가 인정되었습니다. 권고문은 비공개 상태입니다. 수정, 수정 릴리스 정보, CVE 부여, 심각도 공개, 권고문 공개는 대기 중입니다.

벤더

제보 인정

수정

대기 중

CVE

대기 중

공개

권고문 공개 대기 중

심각도

공개 대기 중

Grafana는 프런트엔드 설정을 반환할 때 공유 대시보드의 일시 중지 상태를 일관되게 검사하지 않았습니다. 이전에 유효했던 공유 링크를 가진 사람은 일반적인 대시보드 접근이 차단된 뒤에도 로그인 없이 참조된 데이터 소스 설정을 계속 읽을 수 있었습니다.

벤더

제보 인정

수정

벤더 명시 수정 버전: 12.4.12, 13.0.10, 13.1.7, 13.2.3

CVE

공개

공개

공개

심각도

Grafana 권고문: Medium 5.3 (CVSS 3.1)

보상금

$656

단일 그룹이나 사용자를 관리할 권한을 위임받은 계정이 필요한 권한 없이 임의의 계정에 슈퍼유저 권한을 부여하거나 그룹에 기존 역할을 할당할 수 있었습니다. 이 문제는 이러한 관리 작업을 관리자가 아닌 계정에 위임하는 배포 환경에 영향을 줍니다.

벤더

검증

수정

벤더가 수정 릴리스 명시

CVE

공개됨

공개

공개됨

심각도

High / 8.8 (CVSS 3.1)

update-center2는 플러그인 다운로드 목록 페이지를 렌더링할 때 플러그인에서 제공한 이름, 설명, 버전 메타데이터를 이스케이프하지 않았습니다. 호스팅할 플러그인을 제공할 수 있는 공격자가 해당 페이지에 스크립트를 삽입할 수 있었습니다.

벤더

확인

수정

3.18.4로 배포

CVE

공개됨

공개

공개됨

심각도

Medium / 5.4

Proton에 취약점을 보고했으며 공식 Security Contributors 명단에 등재되었습니다. 기술적 세부사항은 비공개로 유지합니다.

벤더

제보 인정

보상금

미화 200달러 수령