CVE-2026-41084
Təsvir
Apache Airflow-nun kütləvi Task Instances API-dəki (`PATCH/DELETE /api/v2/dags/{dag_id}/dagRuns/{dag_run_id}/taskInstances`) bir xəta, sorğu gövdəsinin (request-body) sahələrindən çıxarılan `dag_id` / `dag_run_id` üzərində əməliyyatlar apararkən, avtorizasiyanı URL yolundan müəyyən edilmiş `dag_id`-yə əsasən yoxlayırdı. Bir Dag üzərində redaktə icazəsi olan autentifikasiya olunmuş UI/API istifadəçisi, URL yolunda avtorizasiya olunmuş Dag-ın ID-sini saxlayaraq və sorğu gövdəsində hədəf Dag-ın ID-lərini qeyd edərək, istənilən digər Dag-da Task Instance vəziyyətini dəyişə bilirdi. Bu, Task Instance vəziyyətinin komandalar arasında izolyasiya edilməsi üçün hər Dag üzrə redaktə əhatəsindən (edit-scope) asılı olan tətbiqlərə təsir edir. İstifadəçilərə `apache-airflow` 3.2.2 və ya daha yeni versiyaya yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- apache airflow3.2.2 və ya daha yeni versiya
- apache-airflow3.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | 3.2.0 ≤ v < 3.2.2 | 3.2.2 |
| apache-airflowPyPI | 3.2.0 ≤ v < 3.2.2 | 3.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.