PT-2026-56180 · Apache · Apache Airflow

Andrew Rukin + 1 · Publicado 2026-07-07 · Atualizado 2026-07-07 · CVE-2026-49487

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.3.0

Description Os endpoints de detalhamento e listagem de instâncias de tarefa da REST API retornam os trigger kwargs de uma tarefa adiada sem mascaramento. Isso permite que qualquer usuário autenticado com acesso de leitura de instância de tarefa com escopo de DAG visualize informações sensíveis, como chaves de API de provedores, em texto claro enquanto a tarefa estiver adiada.

Recommendations Atualize para a versão 3.3.0 ou posterior.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-49487

Produtos afetados

Apache Airflow

Referências · 6

• https://github.com/apache/airflow/pull/67868 · Correção
• https://lists.apache.org/thread/qlw6pozlzlfhkvmbgqsbjlq6vj4v0pc4 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2074460012382970175 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2074459517765427233 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2026/07/07/6 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-49487 · Nota de Segurança