CVE-2026-42360

Apache Airflow-nun render edilmiş şablon sahələrinin idarə edilməsindəki bir xəta, render edilmiş sahə `[core] max_templated_field_length` limitini aşdıqda iç-içə yerləşmiş həssas açarların maskalanmasının (məsələn, JSON şablon strukturunda daxili `password` / `token` / `secret` / `api_key` açarları) yan keçilməsinə səbəb olmuşdur: Airflow redaktədən əvvəl strukturu sətirə çevirmiş, nəticədə iç-içə olan açar konteksti itirilmiş və açıq mətn dəyəri `rendered_fields` bölməsində saxlanılmışdır. Render edilmiş şablon sahələrini oxumaq icazəsi olan autentifikasiya olunmuş UI/API istifadəçisi maskalanması nəzərdə tutulan gizli dəyərləri əldə edə bilərdi. Bu, DAG müəlliflərinin operatorlara iç-içə həssas açarları olan strukturlaşdırılmış JSON ötürdüyü tətbiqlərə təsir edir. Bu, daha əvvəl CVE-2025-68438-də istifadəçi tərəfindən qeydiyyata alınmış `mask_secret()` nümunələri üçün həll edilmiş `CWE-200`-ün bir variantıdır; həmin düzəliş iç-içə yerləşmiş həssas söz açarlarının ağ siyahısını əhatə etmirmişdir. CVE-2025-68438 üçün artıq yeniləmə etmiş istifadəçilər, iç-içə açar yolunu təmin etmək üçün əlavə olaraq `apache-airflow` 3.2.2 və ya daha yeni versiyaya yüksəltmə etməlidirlər.