PT-2026-45372 · Apache · Apache Airflow

Jarek Potiuk + 1 · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-42360

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.2.2

Descrição Um erro no processamento do campo rendered-template permite a evasão da máscara de chaves sensíveis aninhadas. Quando um campo renderizado excede o limite [core] max templated field length, o software transforma a estrutura em string antes da redação, o que remove o contexto da chave aninhada e resulta na persistência de valores em texto simples no rendered fields. Isso afeta implementações onde autores de DAG passam JSON estruturado para operadores contendo chaves sensíveis aninhadas, como password, token, secret ou api key. Um usuário autenticado de UI ou API com permissões para ler campos de template renderizados pode coletar esses valores secretos.

Recomendações Atualize para a versão 3.2.2 ou posterior.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-AIRFLOW-2026-42360

CVE-2026-42360

PYSEC-2026-172

Produtos afetados

Apache Airflow

Referências · 6

• https://github.com/apache/airflow/pull/65906 · Correção
• https://lists.apache.org/thread/obj79bpxnl7r5olz1gsn0g94y88glnl4 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-airflow-2026-42360 · Aviso do Fabricante
• https://t.me/CVEtracker/55453 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-42360 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2026-172 · Aviso do Fabricante