CVE-2026-81914

Apache Airflow-nun Google provayderi, fayl və qovluq adlarını onları ayıran dırnaq simvolunu ekranlamadan birbaşa tək dırnaqlı sətir literallarına interpolasiya edərək Google Drive axtarış ifadələrini qururdu. Buna görə də, tərkibində apostrof olan ad literalı vaxtından əvvəl sonlandırırdı və sorğuya hücumçunun seçdiyi bəndləri əlavə edirdi. Adlar tez-tez DAG müəllifi tərəfindən yazılmır. Wildcard `gcs_to_gdrive` transferində onlar mənbə bucket siyahısından gəlir, beləliklə həmin bucket-də obyektlər yarada bilən hər kəs onlara nəzarət edir — adətən bu, xarici məlumat istehsalçısı və ya yalnız qəbul xidməti hesabı olur ki, bu da DAG müəllifindən fərqli etibar prinsipi olan şəxsdir. İnjeksiya edilmiş bənd uyğunluğu genişləndirə bilər və beləliklə hook-un hansı faylı və ya qovluğu təyin etdiyini yönləndirə bilər: yükləmə prosesi hücumçunun adlandırdığı qovluğa yönləndirilə bilər və yükləmələr ən son dəyişdirilmiş uyğunluğu seçdiyi üçün, yükləmə prosesi DAG-ın istədiyi fayl yerinə hücumçunun yerləşdirdiyi faylı qaytara bilər. Bu problem, az etibarlı prinsiplər tərəfindən yazıla bilən bucket-lərdən wildcard `gcs_to_gdrive` transferləri də daxil olmaqla, xaricdən gələn adları Google Drive hook-una ötürən tətbiqlərə təsir edir. İstifadəçilərə `apache-airflow-providers-google` versiyasının `22.6.0` və ya daha yeni versiyasına yüksəltmə etməkləri tövsiyə olunur; bu versiya Drive sorğusuna interpolasiya edilən hər bir dəyərdə dırnaq və geri slash (\) simvollarını ekranlayır.