PT-2026-45382 · Apache · Apache Airflow

Francis Bergin + 1 · Publicado 2026-06-01 · Atualizado 2026-06-05 · CVE-2026-49267

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.2.2

Description O EmailOperator e os auxiliares airflow.utils.email estabelecem conexões SMTP STARTTLS sem verificar o certificado remoto quando a implantação é configurada com smtp starttls=True e smtp ssl=False. Isso permite que um invasor posicionado entre o worker e o servidor SMTP realize um ataque de Man-in-the-Middle (MITM) ao apresentar um certificado autoassinado. Consequentemente, o invasor pode completar silenciosamente o handshake STARTTLS e capturar as credenciais de autenticação SMTP AUTH e o conteúdo das mensagens encaminhadas.

Recommendations Atualize para a versão 3.2.2 ou posterior.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

BIT-AIRFLOW-2026-49267

CVE-2026-49267

Produtos afetados

Apache Airflow

Referências · 6

• https://github.com/apache/airflow/pull/65346 · Correção
• https://lists.apache.org/thread/6v2ds757000msmjmovnnqryqzks83ps0 · Aviso do Fabricante
• https://t.me/cveNotify/165761 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-49267 · Nota de Segurança
• https://t.me/CVEtracker/55464 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-airflow-2026-49267 · Aviso do Fabricante