PT-2026-34877 · Apache+3 · Apache Airflow+1

Jarek Potiuk + 1 · Publicado 2026-04-24 · Atualizado 2026-04-28 · CVE-2026-40690

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado versões anteriores a 3.2.1

Descrição O grafo de dependência de ativos não restringe os nós com base nas permissões de leitura de DAG do visualizador. Isso permite que um usuário com acesso de leitura a pelo menos um DAG navegue pelo grafo de ativos de qualquer outro ativo na implantação, permitindo a descoberta da existência e dos nomes de DAGs e ativos fora de seu escopo autorizado.

Recomendações Atualize para a versão 3.2.1.

Correção

DoS

Enumeração de Fraquezas

CWE-1220

Identificadores relacionados

BIT-AIRFLOW-2026-40690

CVE-2026-40690

GHSA-W7RC-Q6CM-F5GM

Produtos afetados

Apache Airflow

Airflow

Referências · 10

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/65273 · Correção
• https://github.com/apache/airflow/commit/cf3452d76e2ef5a8bae247f9fc90c759ff9df02f · Nota
• http://openwall.com/lists/oss-security/2026/04/24/4 · Nota
• https://twitter.com/oss_security/status/2048945869764935967 · Publicação no Twitter
• https://lists.apache.org/thread/bqt7y4g2cpj396b0sd20lv510ff19ndl · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40690 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-w7rc-q6cm-f5gm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048099291781099930 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-airflow-2026-40690 · Aviso do Fabricante