CVE-2026-38743
Açıklama
Kimliği doğrulanmış /ui/dags uç noktası, gömülü Human-in-the-Loop (HITL) ve TaskInstance kayıtları üzerinde DAG başına erişim kontrolünü uygulamamıştır: En az bir DAG'a okuma erişimi olan giriş yapmış bir Airflow kullanıcısı, yetkili kapsamı dışındaki DAG'lar için HITL istemlerini (istek parametreleri dahil) ve tam TaskInstance ayrıntılarını alabilmektedir. HITL istemleri ve TaskInstance alanları rutin olarak operatör parametrelerini ve bir göreve eklenmiş serbest biçimli bağlamı taşıdığından, bu sızıntı her kimliği doğrulanmış kullanıcı için DAG çalışma verilerinin görünürlüğünü amaçlanan DAG başına RBAC sınırının ötesine genişletmektedir. Kullanıcıların, bu sorunu gideren 3.2.1 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache airflow3.2.1 ya da sonraki bir sürüm
- apache-airflow3.2.1rc1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | v < 3.2.1 | 3.2.1 |
| apache-airflowPyPI | v < 3.2.1rc1 | 3.2.1rc1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.