KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-13922 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache软件基金会发布安全公告，修复了Apache DolphinScheduler权限覆盖漏洞（CVE-2020-13922）与Apache DolphinScheduler远程执行代码漏洞（CVE-2020-11974）。 CVE-2020-11974与mysql connectorj远程执行代码漏洞有关，在选择mysql作为数据库时，攻击者可通过jdbc connect参数输入{“detectCustomCollations”:true，“ autoDeserialize”:true} 在DolphinScheduler 服务器上远程执行代码。 CVE-2020-13922导致普通用户可通过api interface在DolphinScheduler 系统中覆盖其他用户的密码：api interface /dolphinscheduler/users/update，请相关用户及时升级进行防护。
影响范围
应用：apache dolphinscheduler（版本 1.2.0）
应用：apache dolphinscheduler（版本 1.2.1）
应用：apache dolphinscheduler（版本 1.3.1）
解决方案
Apache DolphinScheduler >= 1.3.1
参考信息
https://www.mail-archive.com/announce%40apache.org/msg06076.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。