PT-2026-45375 · Apache · Apache Airflow

Jarek Potiuk + 1 · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-45426

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.2.2

Descrição O servidor de logs autoriza tokens JWT em relação aos IDs de Dag aplicando a função str.lstrip() ao segmento de caminho solicitado ao verificar a reivindicação sub. Como o str.lstrip() remove qualquer caractere de um conjunto especificado em vez de um prefixo específico, um token emitido para uma Dag pode autorizar o acesso a qualquer outra Dag cujo nome comece com qualquer subconjunto de caracteres do nome da Dag original. Isso permite que um worker do Airflow autenticado com um JWT válido do servidor de logs enumere e leia logs de outras Dags, potencialmente vazando saídas de tarefas e rastreamentos de erro. Este problema afeta implantações que utilizam escopo de acesso a logs por Dag, como topologias de múltiplas equipes, executores compartilhados ou workers compartilhados.

Recomendações Atualize para a versão 3.2.2 ou posterior.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BIT-AIRFLOW-2026-45426

CVE-2026-45426

PYSEC-2026-174

Produtos afetados

Apache Airflow

Referências · 8

• https://github.com/apache/airflow/pull/66749 · Correção
• https://twitter.com/_alphashark_/status/2061715028055924981 · Publicação no Twitter
• https://t.me/CVEtracker/55457 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-174 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/05/31/13 · Nota
• https://lists.apache.org/thread/hz1q7vg65vq2h4fobv5ww8tp257fbqj9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45426 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-airflow-2026-45426 · Aviso do Fabricante