CVE-2026-82310

Apache Airflow FAB provayderi: istifadəçi hesabının deaktiv edilməsi həmin hesaba deaktivasiyadan əvvəl verilmiş tokenləri dayandırmır. Parol autentifikasiyası deaktiv edilmiş hesabı düzgün şəkildə rədd edir, lakin Core API onun adındakı mövcud və vaxtı bitməmiş tokeni qəbul etməyə davam edir və həmin tokenə yeni bir əvəzedici token yaratmağa icazə verir — beləliklə, administrator hesabı deaktiv etdikdən sonra da hesab öz rol əhatəli giriş imkanlarını qeyri-müəyyən müddətə saxlayır. İstifadəçi öz legitim etibarlılıq məlumatlarını təkrar göndərir; burada imzanın saxtalaşdırılması və ya imtiyazların yüksəldilməsi baş vermir və giriş imkanı hesabın artıq sahib olduğu rollar çərçivəsində qalır. FAB auth meneceri və Core API token autentifikasiyasından istifadə edən Airflow 3 tətbiqlərinə təsir edir; burada administrator bazada sətri qalan və əvvəllər verilmiş tokeninin vaxtı bitməmiş hesabı deaktiv edir. Tətikləyici amil, məhdudlaşdırma tədbiri kimi həyata keçirilən inzibati deaktivasiyadır ki, bu da gizli şəkildə uğursuz olur. apache-airflow-providers-fab istifadəçilərinə deaktiv edilmiş hesab adına olan tokenləri rədd edən 3.9.0 və ya daha yeni versiyaya yeniləmək tövsiyə olunur.