PT-2026-45365 · Apache · Apache Airflow

Jarek Potiuk · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-40963

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow versões anteriores a 3.2.2

Descrição O endpoint 'structure data' na interface do usuário do Airflow retorna nós de grafos de dependência externa para DAGs (Directed Acyclic Graphs, que são coleções de todas as tarefas que você deseja executar, organizadas de forma a refletir seus relacionamentos e dependências) vinculadas sem verificar se o chamador possui permissão de leitura sobre essas DAGs. Consequentemente, um usuário autenticado da interface ou API autorizado para uma DAG pode enumerar IDs de DAGs vinculadas e metadados de dependência de outras DAGs que não tem autorização para ler. Este problema afeta implantações que dependem do escopo de leitura por DAG para manter a topologia de dependência de DAGs privada entre equipes.

Recomendações Atualize para a versão 3.2.2 ou posterior.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

BIT-AIRFLOW-2026-40963

CVE-2026-40963

Produtos afetados

Apache Airflow

Referências · 6

• https://github.com/apache/airflow/pull/65342 · Correção
• https://t.me/cveNotify/165434 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-airflow-2026-40963 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/05/31/3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40963 · Nota de Segurança
• https://lists.apache.org/thread/s907bhsksc37m59f0loqjcp1ryobrr60 · Aviso do Fabricante