PT-2026-36084 · Apache Airflow · Apache-Airflow-Providers-Smtp

Francis Bergin + 1 · Publicado 2026-04-30 · Atualizado 2026-06-03 · CVE-2026-41016

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-smtp (versões afetadas não especificadas)

Descrição O componente SmtpHook no provedor SMTP chama a função Python smtplib.SMTP.starttls() sem um contexto SSL. Essa omissão impede a validação do certificado durante a atualização do TLS. Consequentemente, um invasor do tipo man-in-the-middle posicionado entre o worker do Airflow e o servidor SMTP poderia apresentar um certificado autoassinado para concluir a atualização STARTTLS e capturar as credenciais SMTP transmitidas durante a chamada login().

Recomendações Atualize para a versão do apache-airflow-providers-smtp que contenha a correção.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2026-41016

GHSA-X8MH-94WC-33GV

PYSEC-2026-24

Produtos afetados

Apache-Airflow-Providers-Smtp

Referências · 15

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/65346 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow-providers-smtp/PYSEC-2026-24.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41016 · Nota de Segurança
• https://twitter.com/CVEnew/status/2049817605964222710 · Publicação no Twitter
• https://lists.apache.org/thread/gb202qy5r31bgdd3d51d7s5o1jh40kc4 · Aviso do Fabricante
• https://t.me/CVEtracker/55464 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2049818795812782338 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x8mh-94wc-33gv · Aviso do Fabricante
• https://t.me/CVEtracker/52301 · Publicação no Telegram
• https://t.me/cveNotify/161517 · Publicação no Telegram
• https://github.com/advisories/GHSA-x8mh-94wc-33gv · Nota
• https://t.me/cveNotify/165761 · Publicação no Telegram
• https://t.me/cveNotify/161791 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-24 · Aviso do Fabricante