CVE-2026-86473
Təsvir
Apache Airflow: Core API çıxış (logout) nöqtəsi yalnız _token kukisi kimi təqdim olunan sessiya tokenini ləğv edir. Müştəri öz etibarlılıq məlumatlarını Authorization bearer başlığı kimi təqdim edərək sistemdən çıxdıqda, nöqtə normal çıxış cavabını qaytarır, lakin heç nəyi ləğv etmir, buna görə də token vaxtı bitənədək etibarlı qalır. Həmin tokenin surətinə malik olan hücumçu, qurban sistemdən çıxdığını və sessiyanın başa çatdığını düşündükdən sonra belə onun giriş imkanlarını saxlayır; standart token ömrü 24 saatdır və konfiqurasiya edilə biləndir. Brauzer sessiya kukisindən daha çox bearer token ilə autentifikasiya olunan API müştərilərinə təsir edir. Hücumçu artıq etibarlı tokenin surətinə malik olmalıdır; token əldə etmək bu problemin əhatə dairəsindən kənardır və qurbanın öz imtiyazlarından artıq heç bir imtiyaz əldə edilmir. apache-airflow istifadəçilərinə problemi həll edən apache-airflow versiya 3.3.2 və ya daha yeni versiyaya yeniləmək tövsiyə olunur.
Necə düzəltmək olar
- apache airflow3.3.2 və ya daha yeni versiya
- apache-airflow3.3.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache airflow | 3.0.0 ≤ v < 3.3.2 | 3.3.2 |
| apache-airflowPyPI | 3.0.0 ≤ v < 3.3.2 | 3.3.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.