CVE-2026-59242
Təsvir
Apache Airflow-nun XCom `GET /api/v2/{...}/xcomEntries/{key}?deserialize=true` son nöqtəsi (endpoint), `_check_forbidden_xcom_keys` mühafizəsi olmadan sətir-literalı yükü (payload) `BaseXCom.deserialize_value` vasitəsilə ötürür və bu, XCom yazma və oxuma girişinə malik autentifikasiya olunmuş API istifadəçisinə API serverində ixtiyari `airflow.*` siniflərini instansiya etməyə imkan verir (CWE-502). XCom dəyəri yaza bilən və sonra onu `deserialize=true` ilə yenidən oxuya bilən autentifikasiya olunmuş istifadəçi təhlükəli instansiyanı tetikləyir. İstifadəçilərə JSON sətir literalları kimi göndərilən rezerv edilmiş XCom serializasiya açarlarını rədd edən apache-airflow 3.3.1 və ya daha yeni versiyaya yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- apache airflow3.3.1 və ya daha yeni versiya
- apache-airflow3.3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | v < 3.3.1 | 3.3.1 |
| apache-airflowPyPI | v < 3.3.1 | 3.3.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.