PT-2026-45211 · Apache · Apache Airflow

Jarek Potiuk + 1 · Publicado 2026-05-31 · Atualizado 2026-06-05 · CVE-2026-41014

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow versões anteriores a 3.2.2

Description Os endpoints 'partitioned dag runs' na interface do usuário aplicam apenas o controle de acesso ao nível de ativo, e não a autorização por Dag. Isso permite que um usuário autenticado da UI ou API com a permissão global Asset:read enumere o estado de execução da partição, a configuração de agendamento e o encadeamento de ativos para Dags que ele não tem autorização para ler. Este problema afeta implantações que dependem do escopo de leitura por Dag enquanto concedem aos usuários acesso mais amplo a Ativos.

Recommendations Atualize para a versão 3.2.2 ou posterior.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

BIT-AIRFLOW-2026-41014

CVE-2026-41014

PYSEC-2026-182

Produtos afetados

Apache Airflow

Referências · 9

• https://github.com/apache/airflow/pull/65344 · Correção
• https://t.me/CVEtracker/55446 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-182 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-airflow-2026-41014 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/05/31/4 · Nota
• https://t.me/cveNotify/165435 · Publicação no Telegram
• https://lists.apache.org/thread/12nbzwwby7g883w2j13gn7ny1545xob9 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2061096503964242296 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41014 · Nota de Segurança