Jed Cunningham

**Nome do Software Vulnerável e Versões Afetadas** Airflow versões anteriores a 3.2.1 **Description** O endpoint autenticado '/ui/dags' não aplica o controle de acesso por DAG em registros incorporados de Human-in-the-Loop (HITL) e TaskInstance. Isso permite que um usuário logado com acesso de leitura a pelo menos um DAG recupere prompts HITL, incluindo seus parâmetros de solicitação, e detalhes completos de TaskInstance para DAGs fora de seu escopo autorizado. Como os prompts HITL e os campos de TaskInstance rotineiramente carregam parâmetros de operador e contexto de formulário livre anexados a uma tarefa, esse vazamento amplia a visibilidade dos dados de execução do DAG além do limite de RBAC (Controle de Acesso Baseado em Função) pretendido para cada usuário autenticado. **Recommendations** Atualizar para a versão 3.2.1.

**Nome do software vulnerável e versões afetadas** Versões do Apache Airflow anteriores à 2.8.2 **Descrição** A vulnerabilidade permite que usuários autenticados visualizem o código DAG e os erros de importação de DAGs para os quais não têm permissão de visualização, tanto pela API quanto pela interface do usuário. Isso está relacionado à divulgação de informações na área de dados de erros. A exploração da vulnerabilidade pode permitir que um invasor remoto acesse o código-fonte dos DAGs. **Recomendações** Para versões do Apache Airflow anteriores à 2.8.2, atualize para a versão 2.8.2 ou mais recente para mitigar o risco associado a esta vulnerabilidade. Como solução temporária, considere restringir o acesso à API e à interface do usuário para usuários autenticados até que um patch esteja disponível.