PT-2026-57821 · Apache · Apache Airflow Fab Provider

Jarek Potiuk + 1 · Publicado 2026-07-13 · Atualizado 2026-07-13 · CVE-2026-59245

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-fab versões anteriores a 3.7.2

Description No gerenciador de autenticação FAB do Apache Airflow, ocorre uma escalada de privilégios quando um DAG é criado com um dag id definido como DAGs. Este ID específico entra em conflito com o nome do recurso de permissão global para todos os DAGs gerado pela função resource name(). Consequentemente, um usuário com menos privilégios que receba access control por DAG para esse DAG específico recebe silenciosamente permissões globais, permitindo acesso de leitura e edição a todos os DAGs do sistema.

Recommendations Atualize para o apache-airflow-providers-fab 3.7.2 ou posterior.

Correção

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-59245

Produtos afetados

Apache Airflow Fab Provider

Referências · 7

• https://github.com/apache/airflow/pull/69106 · Correção
• https://twitter.com/infoflowcloud/status/2076723592650268917 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2076732021326463018 · Publicação no Twitter
• https://lists.apache.org/thread/70f37q3mwov1vm3zolrfxlzds278c78h · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/07/13/4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-59245 · Nota de Segurança
• https://twitter.com/CVEnew/status/2076722745203724512 · Publicação no Twitter