PT-2026-33058 · Airflow · Airflow

Saurabh Banawar · Publicado 2026-04-15 · Atualizado 2026-04-18 · CVE-2026-25219

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Airflow versões anteriores a 3.1.8

Description O mascarador de segredos não marcou as propriedades de conexão access key e connection string como nomes sensíveis. Isso permite que usuários com permissão de leitura visualizem esses valores na Interface de Usuário de Conexão. Além disso, se uma Conexão for acidentalmente registrada em logs, esses valores podem ser expostos. O Azure Service Bus utiliza essas propriedades para armazenar dados sensíveis, e outros provedores que utilizem os mesmos campos também podem ser afetados.

Recommendations Atualizar para a versão 3.1.8.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-AIRFLOW-2026-25219

CVE-2026-25219

GHSA-4G48-54Q2-FG7Q

Produtos afetados

Airflow

Referências · 11

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/61580 · Correção
• https://github.com/apache/airflow/pull/61582 · Correção
• http://openwall.com/lists/oss-security/2026/04/15/3 · Nota
• https://osv.dev/vulnerability/BIT-airflow-2026-25219 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2044737981047550023 · Publicação no Twitter
• https://twitter.com/oss_security/status/2044454208707928315 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-4g48-54q2-fg7q · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2044451572789268523 · Publicação no Twitter
• https://lists.apache.org/thread/t4dlmqkn0njz4chk3g7mdgzb96y4ttqh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-25219 · Nota de Segurança