CVE-2025-30473
Açıklama
Apache Airflow Common SQL Provider'da bir SQL Komutunda kullanılan Özel Öğelerin Uygun Şekilde Etkisizleştirilmemesi ('SQL Injection') zafiyeti bulunmaktadır. SQLTableCheckOperator'da parametre olarak partition clause kullanıldığında (ki bu önerilen bir kalıptı), kimliği doğrulanmış UI Kullanıcısı, partition_clause kısmını kullanıcıya açan bir DAG'ı tetiklerken rastgele SQL komutları enjekte edebiliyordu. Bu durum, DAG Tetikleme kullanıcısının normalde yetkisi olmayan bu rastgele komutları yürütmek için yetki yükseltmesine olanak tanıyordu. Bu sorun Apache Airflow Common SQL Provider'ın 1.24.1 öncesi sürümlerini etkilemektedir. Kullanıcıların, sorunu gideren 1.24.1 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache airflow_common_sql_provider1.24.1 ya da sonraki bir sürüm
- apache-airflow-providers-common-sql1.24.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow_common_sql_provider | v < 1.24.1 | 1.24.1 |
| apache-airflow-providers-common-sqlPyPI | v < 1.24.1 | 1.24.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.