PT-2026-33592 · Apache · Apache Airflow

Kevin Yang · Publicado 2026-04-18 · Atualizado 2026-04-21 · CVE-2026-30898

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Apache Airflow (versões afetadas não especificadas)

Description Um exemplo de BashOperator na documentação sugeriu um método de passagem de dag run.conf que permite o uso de entrada de usuário não sanitizada. Isso pode levar a uma escalada de privilégios onde um usuário da interface (UI) pode executar código no worker.

Recommendations Revisar todos os DAGs para garantir que não adotaram a orientação incorreta da documentação em relação ao uso de dag run.conf no BashOperator.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

BIT-AIRFLOW-2026-30898

CVE-2026-30898

Produtos afetados

Apache Airflow

Referências · 7

• https://github.com/apache/airflow/pull/64129 · Correção
• https://lists.apache.org/thread/26zmhfj1t95c1hld2r14ho81nzh1bdc8 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045467316142436716 · Publicação no Twitter
• https://twitter.com/oss_security/status/2045900686009811291 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2026/04/17/7 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-30898 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-airflow-2026-30898 · Aviso do Fabricante