PT-2026-42001 · Apache · Apache Airflow

Anish Giri · Publicado 2026-05-19 · Atualizado 2026-06-03 · CVE-2026-27173

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Apache Airflow (versões afetadas não especificadas)

Descrição Tokens JWT utilizados por workers em Kubernetes Executors são expostos a usuários com acesso apenas de leitura a Pods do Kubernetes. Essa exposição permite que usuários com permissões limitadas executem ações destinadas apenas a tarefas em execução via Task SDK, permitindo potencialmente a modificação do estado do Banco de Dados do Airflow para essas tarefas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-538

Identificadores relacionados

CVE-2026-27173

GHSA-524W-VQ63-2XHF

Produtos afetados

Apache Airflow

Referências · 11

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/60108 · Correção
• http://openwall.com/lists/oss-security/2026/05/19/35 · Nota
• https://t.me/cveNotify/165762 · Publicação no Telegram
• https://twitter.com/oss_security/status/2057007640287252530 · Publicação no Twitter
• https://t.me/CVEtracker/55466 · Publicação no Telegram
• https://lists.apache.org/thread/pk3m2z4s2rkmc0v6gh9hnch9spc6stqw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27173 · Nota de Segurança
• https://twitter.com/vuldb/status/2056988937605026224 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2056870187056398632 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-524w-vq63-2xhf · Aviso do Fabricante