CVE-2026-42359

Apache Airflow-nun XCom PATCH son nöqtəsindəki (`PATCH /api/v2/xcomEntries/{key}`) bir xəta, DAG üzərində XCom yazma icazəsi olan autentifikasiya olunmuş UI/API istifadəçisinə, müvafiq POST son nöqtəsi tərəfindən artıq `FORBIDDEN_XCOM_KEYS` vasitəsilə yoxlanılan rezerv edilmiş açar adları (məsələn, `return_value`) altında XCom yazılarını təyin etməyə imkan verirdi. Son nöqtə həmçinin triggerer-in deserializatorunun kod kimi qəbul etdiyi seriyallaşdırılmış faydalı yükləri (payload) qəbul edirdi; bu iki hal birlikdə, təsirə məruz qalan tapşırıq növbəti dəfə təxirə salındıqda triggerer üzərində uzaqdan kodun icrasına (RCE) şərait yaradırdı. Bu, etibarsız istifadəçilərin triggerer-ə təxirə salınan DAG-larda XCom yazma icazəsinə malik olduğu tətbiqlərə təsir edir. Bu, CVE-2026-33858-in düzəlişindən yan keçmədir: PR #64148 `FORBIDDEN_XCOM_KEYS` validatorunu yalnız POST/set yoluna əlavə etmişdi; PATCH yolu isə əhatə edilməmişdi. CVE-2026-33858 üçün artıq yeniləmə aparmış istifadəçilər, PATCH yolu ilə yan keçməni aradan qaldırmaq üçün əlavə olaraq `apache-airflow` 3.2.2 və ya daha yeni versiyaya yüksəltmə etməlidirlər.