CVE-2026-68076

Apache Airflow-nun mühit dəyişənləri (environment-variable) secrets backend-i komanda səviyyəli Connection və ya Variable məlumatlarını yanlış komandanın sahəsindən götürürdü. Bunu önləmək üçün nəzərdə tutulmuş mühafizə mexanizmi yalnız heç bir komanda sahəsi təmin edilmədikdə işləyirdi və onun şablonu alt xətt (_) ehtiva edən komanda adları ilə uyğunlaşmırdı, halbuki komanda adlarında alt xətt istifadəsinə icazə verilir. Mühafizə mexanizmi tətbiq olunmadıqda, axtarış şərtə bağlı olmayan qlobal oxuma prosesinə keçir və hansı komandanın sorğu göndərməsindən asılı olmayaraq yaddaşda saxlanılan `AIRFLOW_CONN__<TEAM>___<ID>` dəyişənini həll edirdi. Çoxkomandalı rejimdə (multi-team mode), bir komandanın autentifikasiya olunmuş istifadəçisi `POST /api/v2/connections/test` vasitəsilə digər komandanın Connection məlumatlarını əldə edə və həmin komandanın etibarnamələri ilə kənara autentifikasiya ola bilərdi; son nöqtə (endpoint) etibarnamələri qaytarmaq əvəzinə onlardan istifadə edir. Eksploatasiya üçün `[core] multi_team` funksiyasının aktiv olması, `[core] test_connection` parametrinin `Enabled` olaraq təyin edilməsi (standart olaraq `Disabled` gəlir), komanda səviyyəli sirlərin API-server prosesində mühit dəyişənləri kimi təmin edilməsi və kodlaşdırılmış identifikatorun bilinməsi tələb olunur. Testin hücumçu tərəfindən idarə olunan hosta yönləndirilməsi ayrıca bloklanmışdır. İstifadəçilərə apache-airflow 3.3.1 və ya daha yeni versiyaya yüksəltmə etmək tövsiyə olunur.