CVE-2026-49487
Təsvir
Apache Airflow 3.3.0-dan əvvəlki versiyalarda REST API-nin tapşırıq nüsxəsi detalları və siyahı endpoint-ləri təxirə salınmış tapşırığın trigger kwargs-larını maskalanmadan qaytarırdı. Təxirə salınmış operator öz trigger-inə sirr (məsələn, provayder API açarı) ötürdükdə, həmin DAG üzrə DAG səviyyəsində tapşırıq nüsxəsini oxumaq icazəsi olan istənilən autentifikasiya olunmuş istifadəçi tapşırıq təxirə salınmış vəziyyətdə olarkən həmin sirri açıq mətndə oxuya bilərdi. İstifadəçilər API tərəfindən qaytarılan trigger kwargs-larında həssas dəyərləri maskalayan apache-airflow 3.3.0 və ya daha sonrakı versiyaya yüksəltməlidirlər.
Necə düzəltmək olar
- apache airflow3.3.0 və ya daha yeni versiya
- apache-airflow3.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | v < 3.3.0 | 3.3.0 |
| apache-airflowPyPI | v < 3.3.0 | 3.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.