PT-2026-45379 · Apache · Apache Airflow

Bernardo Curi + 1 · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-48726

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.2.2

Description Uma falha no processamento de logout do gerenciador de autenticação permite que tokens JSON Web Tokens (JWT) emitidos anteriormente permaneçam válidos após o usuário clicar em logout na interface do usuário. Em implantações configuradas com FabAuthManager ou KeycloakAuthManager, o fluxo de logout não atinge a função revoke token(), fazendo com que o servidor de API continue aceitando o token até a sua expiração natural. Isso permite que um invasor que possua um JWT de uma sessão encerrada continue a fazer chamadas de API autenticadas como esse usuário.

Recommendations Atualize para a versão 3.2.2 ou posterior.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

BIT-AIRFLOW-2026-48726

CVE-2026-48726

PYSEC-2026-187

Produtos afetados

Apache Airflow

Referências · 8

• https://github.com/apache/airflow/pull/67289 · Correção
• https://lists.apache.org/thread/630jg4z6cjkv4m2yv2ljgmf1zhdj1vqx · Aviso do Fabricante
• https://t.me/cveNotify/165760 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-48726 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2026-187 · Aviso do Fabricante
• https://t.me/CVEtracker/55461 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-airflow-2026-48726 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-57735 · Nota de Segurança