CVE-2026-50203

Kritik

Təsvir

SFTP provayderindəki (`SFTPHook.retrieve_directory` / `SFTPOperator(operation=get)`) yol keçidi (path traversal) zəifliyi, bədniyyətli və ya kompromisə uğramış uzaq SFTP serverinə xüsusi hazırlanmış kataloq giriş adları vasitəsilə konfiqurasiya edilmiş yerli təyinat kataloqundan kənara fayllar yazmağa imkan verir. Heç bir Airflow hesabı tələb olunmur — hücum səthi etibarsız SFTP serverindən kataloqları yükləyən hər hansı tətbiqdir. `apache-airflow-providers-sftp` versiyasını 5.8.1 və ya daha yeni versiyaya yüksəldin.

CiddilikKritik

CVSS9.1

İstismar ehtimalı—

Məhsul

Apache-airflow-providers-sftp

Dərc17 iyn 2026

İlk görülmə17 iyn 2026

Zəiflik növüCWE-22Kataloq keçidi (path traversal)

Necə düzəltmək olar

Yeniləyin

apache apache-airflow-providers-sftp5.8.1 və ya daha yeni versiya
apache-airflow-providers-sftp5.8.1 və ya daha yeni versiya

Yamaqlar

github.com/apache/airflow/pull/67985

İstehsalçı bildirişləri

lists.apache.org/thread/7f4b284oh44c1n95oq8mh1qc7y1lr9dx

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
apache apache-airflow-providers-sftp	v < 5.8.1	5.8.1
apache-airflow-providers-sftpPyPI	v < 5.8.1	5.8.1

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.