PT-2026-32992 · Apache · Apache Airflow

Vincent55 Yang · Publicado 2026-04-15 · Atualizado 2026-04-18 · CVE-2025-54550

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Apache Airflow (versões afetadas não especificadas)

Description Um exemplo chamado 'example xcom' na documentação implementou um padrão inseguro para a leitura de valores do XCom. Isso poderia permitir que um usuário da interface (UI) com permissões para modificar XComs execute código arbitrário no worker. O XCom é um mecanismo que permite que as tarefas troquem pequenas quantidades de dados.

Recommendations Usuários que implementaram o padrão encontrado no exemplo 'example xcom' devem ajustar suas implementações para corresponder à versão aprimorada fornecida na documentação do Airflow 3.2.0.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BIT-AIRFLOW-2025-54550

CVE-2025-54550

GHSA-Q2HG-643C-GW8H

Produtos afetados

Apache Airflow

Referências · 9

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/63200 · Correção
• https://twitter.com/oss_security/status/2044454208707928315 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-q2hg-643c-gw8h · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2044338855588036998 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-54550 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-airflow-2025-54550 · Aviso do Fabricante
• https://lists.apache.org/thread/3mf4cfx070ofsnf9qy0s2v5gqb5sc2g1 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/04/15/1 · Nota