CVE-2026-68971

Apache Airflow-nun aktivlərin materializasiyası son nöqtəsi (`POST /api/v2/assets/{asset_id}/materialize`) və `wait_dag_run_until_finished` funksiyasındakı XCom nəticələrinin yoxlanılması, digər bütün avtorizasiya sahələrindən fərqli olaraq, hədəf Dag-ı komandası olmadan avtorizasiya edirdi. Komanda-həssas (team-aware) avtorizasiya meneceri həmin sahə vasitəsilə komanda əhatəli Dag-ı qlobal olanlardan fərqləndirir — məsələn, Keycloak avtorizasiya meneceri `DAG:<team>` resursu əvəzinə `DAG` resursunu yoxlayır — buna görə də sorğunu məhdudlaşdırmalı olan komanda əhatəli icazə heç vaxt nəzərə alınmırdı. Komanda-həssas avtorizasiya meneceri ilə çoxkomandalı rejimdə işləyən tətbiqlərdə, bir komandanın autentifikasiya olunmuş istifadəçisi öz `dag_run_id` və `conf` parametrlərini təqdim etməklə başqa bir komandaya aid Dag işlərini tetikləyə və digər komandanın XCom dəyərlərini oxuya bilərdi. FAB avtorizasiya menecerindən istifadə edən tətbiqlər, çoxkomandalı dəstəyi olmadığı üçün bu problemdən təsirlənmir. İstifadəçilərə hər iki sahədə Dag-ın komandasını müəyyən edən apache-airflow 3.3.1 və ya daha yeni versiyasına yeniləmək tövsiyə olunur.