CVE-2026-68871

Apache Airflow-un Yandex provayerindəki Yandex Lockbox sirlər backendi, komanda səviyyəli (team-scoped) Connection və ya Variable id-si tapılmadıqda, onu komandadan asılı olmayan (team-agnostic) axtarış vasitəsilə həll edirdi. Bu backend ilə çoxkomandalı (multi-team) rejimdə işləyən tətbiqlərdə, bir komandanın istifadəçisi digər komandanın ad sahəsini (namespace) göstərən id təqdim etməklə həmin komandaya məxsus sirri tapa və onun etibarnamələrini tam şəkildə əldə edə bilərdi. Çoxkomandalı rejimin aktiv edilməsi və bu backend-dən istifadə edilməsi ilə bağlı hər hansı qeyri-adi konfiqurasiya tələb olunmur. İstifadəçilərə, komanda ad sahəsini təyin edə bilən id üçün komandadan asılı olmayan keçidi rədd edən apache-airflow-providers-yandex 4.5.1 və ya daha yeni versiyasına yeniləmək tövsiyə olunur.