CVE-2026-40948
Açıklama
`apache-airflow-providers-keycloak` içerisindeki Keycloak kimlik doğrulama yöneticisi, giriş / giriş-geri çağırma akışında OAuth 2.0 `state` parametresini oluşturmamış veya doğrulamamış ve PKCE kullanmamıştır. Aynı realm içerisinde bir Keycloak hesabına sahip olan bir saldırgan, kurbanın tarayıcısına özel olarak hazırlanmış bir geri çağırma URL'si göndererek kurbanın saldırganın Airflow oturumuna giriş yapmasına neden olabilir (login-CSRF / oturum sabitleme); bu durumda kurbanın daha sonra Airflow Bağlantıları'nda sakladığı tüm kimlik bilgileri saldırgan tarafından ele geçirilebilir. Kullanıcıların `apache-airflow-providers-keycloak` sürümünü 0.7.0 veya daha yeni bir sürüme yükseltmeleri önerilir.
Nasıl düzeltilir
- apache apache-airflow-providers-keycloak0.7.0 ya da sonraki bir sürüm
- apache-airflow-providers-keycloak0.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache apache-airflow-providers-keycloak | 0.0.1 ≤ v < 0.7.0 | 0.7.0 |
| apache-airflow-providers-keycloakPyPI | 0.0.1 ≤ v < 0.7.0 | 0.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.