PT-2026-39579 · Apache Airflow · Apache Airflow Providers Opensearch

Aleksandr Sozinov + 2 · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-43826

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-opensearch versões anteriores a 1.9.1

Descrição O provedor de logging do OpenSearch grava a URL completa do host nos logs de tarefa quando configurado com uma URL host que incorpora credenciais. Isso permite que qualquer usuário com permissões de leitura de logs de tarefa colete as credenciais do backend.

Recomendações Atualize para a versão 1.9.1 ou posterior. Configure as credenciais do backend por meio de um backend de segredos em vez de incorporá-las na URL host.

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2026-43826

GHSA-XCCP-97WP-3GJG

PYSEC-2026-23

Produtos afetados

Apache Airflow Providers Opensearch

Referências · 17

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/65509 · Correção
• https://github.com/apache/airflow/commit/6a6b6ff409fb48c28bd63482828632a3c5a5bb93 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow-providers-opensearch/PYSEC-2026-23.yaml · Nota
• https://lists.apache.org/thread/bxsrqx1vwssovnwnrvgh9xcosptmf73y · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-23 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-43826 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-43826 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-43826 · Aviso do Fabricante
• https://t.me/CVEtracker/53358 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xccp-97wp-3gjg · Aviso do Fabricante
• https://t.me/cveNotify/163015 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-43826 · Nota de Segurança
• https://twitter.com/CVEnew/status/2053954497785823374 · Publicação no Twitter
• https://github.com/advisories/GHSA-xccp-97wp-3gjg · Nota