CVE-2026-48828

Apache Airflow-da Bulk Variables API redaktoru dəyişənin açarını ötürmədən çağırırdı, buna görə JSON ilə dekodlana bilən dəyişən dəyərləri üçün açar əsaslı `should_hide_value_for_key` yoxlaması (bu yoxlama `*_password` / `*_token` / `*_secret` kimi sirr şəkilçili açar adlarında işə düşür) tetiklənə bilmirdi. Bulk Variable oxuma icazəsi olan autentifikasiyadan keçmiş UI/API istifadəçisi açarı başqa halda redaktəni tetikləyəcək JSON dəyişənlərindən açıq mətn dəyərlərini əldə edə bilərdi. Bu, həssas dəyərləri sirr şəkilçili açar adları altında JSON tipli Airflow Variables-da saxlayan yerləşdirmələrə təsir edir. İstifadəçilərə `apache-airflow` 3.3.0 və ya daha yeni versiyaya yüksəltmə tövsiyə olunur (düzəliş 3.2.2-dən sonra `main` budağına düşüb; 3.2.x üçün geriyə portlaşdırma yoxdur).