CVE-2026-97636

Apache Airflow HashiCorp provayderi: HashiCorp Vault secrets backend-inin komanda-miqyaslı (team-scope) mühafizəsi istifadəçi tərəfindən idarə olunan açarla yan keçilə bilər. Çoxkomandalı yerləşdirmələrdə bir komandaya məxsus olan DAG müəllifi, tərkibində yol ayırıcısı olan Variable açarı təqdim edərək backend-in başqa komandaya aid sirri həll etməsinə səbəb ola bilər; çünki komanda miqyaslı axtarış uğursuz olduqdan sonra backend yoxlanılmamış açardan birləşdirilmiş komandadan asılı olmayan yola geri dönür. Execution API Variables marşrutu yol formatında olan açarları qəbul etdiyi üçün bu, adi DAG kodu vasitəsilə əlçatandır. HashiCorp Vault secrets backend-indən istifadə edən çoxkomandalı yerləşdirmələrə təsir edir. Təkkomandalı yerləşdirmələrə təsir etmir, çünki keçilməli heç bir komandalararası sərhəd yoxdur. Bu, Akeyless, Azure Key Vault, Yandex Lockbox və Amazon secrets backend-lərindəki CVE-2026-86465, CVE-2026-68870, CVE-2026-68871 və CVE-2026-68872 ilə eyni sinifdədir. apache-airflow-providers-hashicorp istifadəçilərinə problemi aradan qaldıran 4.8.0 və ya daha yeni versiyaya yeniləmək tövsiyə olunur.