CVE-2026-45426

İstismar üçün hücum edən şəxsin artıq autentifikasiya olunmuş və ən azı bir Dag üçün verilmiş etibarlı Log-server JWT tokeninə malik olan Airflow işçisi (worker) olması tələb olunur. Apache Airflow-un Log serveri, JWT-nin `sub` iddiasını yoxlayarkən sorğu edilən yol seqmentinə Python-un `str.lstrip()` funksiyasını tətbiq etməklə JWT tokenlərini Dag ID-lərinə görə avtorizasiya edirdi. `str.lstrip()` sol tərəfdən simvolların müəyyən bir *çoxluğunu* silir (yalnız prefiksi yox), buna görə də məsələn, `dag_a` adlı Dag üçün verilmiş JWT, adı `{d, a, g, _}` simvollarının hər hansı alt çoxluğu ilə başlayan digər istənilən Dag-a loqlara giriş icazəsi verirdi (məsələn, `dag_attacker`, `aaaa_target`, `_dag_secret`). Belə bir autentifikasiya olunmuş işçi, adları həmin simvol sinfi prefiksini paylaşan digər Dag-ların işçi loqlarını sadalayabilir və oxuya bilər ki, bu da sənədləşdirilmiş hər bir Dag üçün izolyasiya sərhədindən kənarda tapşırıq çıxışlarının və xəta izlərinin sızmasına səbəb olur. Bu problem, hər bir Dag üzrə loqa giriş əhatəsinə əsaslanan tətbiqləri (çoxkomandalı, ortaq executor, ortaq worker topologiyaları) təsir edir. İstifadəçilərə `apache-airflow` versiyasının 3.2.2 və ya daha yeni versiyasına yüksəltmə etməyi tövsiyə olunur.