PT-2026-45281 · Apache · Apache Airflow

Jarek Potiuk · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-45192

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.2.2

Descrição Uma falha no endpoint da API REST GET '/api/v2/connections/{connection id}' permite que um usuário autenticado de UI/API com permissão de leitura de conexão recupere segredos armazenados no blob JSON extra de uma conexão. Isso ocorre quando os segredos são armazenados sob nomes de campos que não estão incluídos na lista de permissões de redação (DEFAULT SENSITIVE FIELDS), resultando no retorno de dados sensíveis, como nomes de campos de credenciais do provedor Slack, em texto simples. Este problema afeta implantações que armazenam credenciais em blobs extra de conexão e concedem acesso de leitura de conexão a múltiplos usuários.

Recomendações Atualize para a versão 3.2.2 ou posterior. Armazene valores de credenciais sensíveis em um secret-backend em vez de inseri-los diretamente no campo extra da conexão.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-AIRFLOW-2026-45192

CVE-2026-45192

PYSEC-2026-173

Produtos afetados

Apache Airflow

Referências · 7

• https://github.com/apache/airflow/pull/66673 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-45192 · Nota de Segurança
• https://lists.apache.org/thread/r2q93dg2wp5h9sd9vh6y4y5ljqd9crdd · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-173 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/06/01/3 · Nota
• https://t.me/cveNotify/165423 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-airflow-2026-45192 · Aviso do Fabricante