CVE-2025-54415
Açıklama
dag-factory, konfigürasyon dosyaları aracılığıyla deklaratif olarak DAG'lar oluşturmak için kullanılan bir Apache Airflow® kütüphanesidir. 0.23.0a8 ve altı sürümlerde, astronomer/dag-factory GitHub deposundaki cicd.yml iş akışında yüksek öncelikli bir güvenlik açığı tespit edilmiştir. İş akışı, özellikle pull_request_target tarafından tetiklendiğinde istismara açıktır ve bir saldırganın GitHub Actions runner ortamında rastgele kod çalıştırmasına olanak tanır. Bu yanlış yapılandırma; bir saldırganın ters kabuk (reverse shell) kurmasına, yüksek yetkili GITHUB_TOKEN dahil hassas sırların sızdırılmasına ve nihayetinde depo üzerinde tam kontrol sağlamasına imkan verir. Bu sorun 0.23.0a9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| astronomer dag-factory | < 0.23.0a9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.