PT-2026-31606 · Apache · Apache Airflow

Anish Giri + 2 · CVE-2025-57735 · Publicado 2026-04-09 · Atualizado 2026-06-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Apache Airflow versões anteriores a 3.2.0

Description O Apache Airflow é afetado por um problema em que os tokens JWT permanecem válidos após o logout do usuário, potencialmente permitindo acesso não autorizado se o token for interceptado. O token JWT associado à autenticação do usuário não era invalidado após o logout. Isso poderia permitir que um invasor que interceptasse o token o reutilizasse para acesso não autorizado.

Recommendations Atualize para a versão 3.2.0 ou posterior para resolver este problema.

Exploit

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

BIT-AIRFLOW-2025-57735

BIT-AIRFLOW-2026-48726

CVE-2025-57735

ECHO-667C-B1CF-DD2B

GHSA-C92R-G8J5-VHCX

GHSA-VR7M-C6V4-8CX8

PYSEC-2026-187

PYSEC-2026-269

Produtos afetados

Apache Airflow

Referências · 33

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/57xxx/CVE-2025-57735.json · Exploit
• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/67289 · Nota
• https://github.com/apache/airflow/pull/56633 · Correção
• https://github.com/apache/airflow/pull/61339 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow/PYSEC-2026-187.yaml · Nota
• https://twitter.com/pulsepatchio/status/2043163364386353566 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-airflow-2026-48726 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-187 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2042302838479749123 · Publicação no Twitter
• https://lists.apache.org/thread/ovn8mpd8zkc604hojt7x3wsw3kc60x98 · Aviso do Fabricante
• https://t.me/cveNotify/165760 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-269 · Aviso do Fabricante
• https://pypi.org/project/apache-airflow · Nota
• https://osv.dev/vulnerability/GHSA-vr7m-c6v4-8cx8 · Aviso do Fabricante