PT-2026-39578 · Apache Airflow · Apache Airflow Providers Elasticsearch

Aleksandr Sozinov + 1 · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-41018

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-elasticsearch versões anteriores a 6.5.3

Descrição O provedor de log do Elasticsearch grava a URL completa do host nos logs de tarefa quando configurado com uma URL de host que incorpora credenciais. Isso permite que qualquer usuário com permissão de leitura de logs de tarefa colete as credenciais do backend.

Recomendações Atualize para a versão 6.5.3 ou posterior. Configure as credenciais do backend por meio de um backend de segredos em vez de incorporá-las na URL do host.

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2026-41018

GHSA-G3JR-4JRM-JVQV

PYSEC-2026-22

Produtos afetados

Apache Airflow Providers Elasticsearch

Referências · 17

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/65349 · Correção
• https://github.com/apache/airflow/commit/f9244064016a8db45277efb0c24808e663b233f3 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow-providers-elasticsearch/PYSEC-2026-22.yaml · Nota
• https://ubuntu.com/security/CVE-2026-41018 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-41018 · Aviso do Fabricante
• https://t.me/cveNotify/163014 · Publicação no Telegram
• https://lists.apache.org/thread/wz5l58drprmwlv6jxnq466x24jqbbhp7 · Aviso do Fabricante
• https://github.com/advisories/GHSA-g3jr-4jrm-jvqv · Nota
• https://cve.org/CVERecord?id=CVE-2026-41018 · Nota de Segurança
• https://t.me/cveNotify/163009 · Publicação no Telegram
• https://t.me/CVEtracker/53357 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-g3jr-4jrm-jvqv · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-22 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/05/10/3 · Nota