PT-2026-42004 · Apache Airflow · Apache Airflow Amazon Provider

Justin Pakzad · Publicado 2026-05-19 · Atualizado 2026-05-20 · CVE-2026-42526

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-amazon versões anteriores a 9.28.0

Descrição Nos backends de segredos AWS Secrets Manager e SSM Parameter Store, a lógica de escopo de equipe poderia resolver um conn id contendo / (por exemplo, "my team/conn") para o mesmo caminho que o segredo de escopo de equipe de outra equipe quando o chamador não possuía contexto de equipe. Isso permite que um chamador privilegiado sem contexto de equipe recupere segredos de outra equipe ao criar um conn id colidente. Este problema afeta apenas o recurso experimental de equipes multi-tenant.

Recomendações Atualizar para a versão 9.28.0.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-42526

GHSA-G9QC-QF28-HHQX

Produtos afetados

Apache Airflow Amazon Provider

Referências · 8

• https://github.com/apache/airflow · Nota
• https://github.com/apache/airflow/pull/65703 · Correção
• https://lists.apache.org/thread/0092sz5g520d3qqjb01wd61myqlgjtyn · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2056870188180533616 · Publicação no Twitter
• https://twitter.com/oss_security/status/2057007640287252530 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2026/05/19/36 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42526 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-g9qc-qf28-hhqx · Aviso do Fabricante