PT-2026-33603 · Apache Airflow · Apache Airflow Providers Keycloak

Haruki Oyama · Publicado 2026-04-18 · Atualizado 2026-05-11 · CVE-2026-40948

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-keycloak versões anteriores a 0.7.0

Descrição O gerenciador de autenticação Keycloak não gera nem valida o parâmetro state do OAuth 2.0 durante o fluxo de login e login-callback e não implementa o PKCE (Proof Key for Code Exchange), uma extensão de segurança do OAuth 2.0 que evita a injeção de códigos de autorização. Um invasor com uma conta Keycloak no mesmo realm pode enviar uma URL de callback manipulada para o navegador de uma vítima, forçando a vítima a ser conectada à sessão do Airflow do invasor. Este login-CSRF ou fixação de sessão permite que o invasor colete quaisquer credenciais que a vítima armazene posteriormente nas Conexões do Airflow.

Recomendações Atualize para a versão 0.7.0 ou posterior.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-40948

GHSA-5W6H-PJW6-WVC6

Produtos afetados

Apache Airflow Providers Keycloak

Referências · 8

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/64114 · Correção
• https://t.me/cveNotify/163051 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2026/04/17/14 · Nota
• https://lists.apache.org/thread/kc0odpr70hbqhdb9ksnz42fkqz2xld9q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40948 · Nota de Segurança
• https://twitter.com/oss_security/status/2045900926565675377 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5w6h-pjw6-wvc6 · Aviso do Fabricante