CVE-2026-42359

Apache Airflow'un XCom PATCH uç noktası olan `PATCH /api/v2/xcomEntries/{key}` üzerindeki bir hata, bir DAG üzerinde XCom yazma iznine sahip kimliği doğrulanmış bir UI/API kullanıcısının, eşleşen POST uç noktasının zaten `FORBIDDEN_XCOM_KEYS` ile doğruladığı ayrılmış anahtar isimleri (örneğin `return_value`) altında XCom girişleri ayarlamasına izin veriyordu. Uç nokta ayrıca, triggerer'ın serisizleştiricisinin kod olarak işlediği serileştirilmiş yük şekillerini de kabul ediyordu; bu durum birleştiğinde, etkilenen görev bir sonraki sefer ertelendiğinde triggerer üzerinde uzaktan kod çalıştırmaya (RCE) olanak tanıyordu. Güvenilmeyen kullanıcıların, triggerer'a erteleme yapan DAG'lar üzerinde XCom yazma iznine sahip olduğu dağıtımlar etkilenmektedir. Bu, CVE-2026-33858'in düzeltmesini atlayan bir durumdur: PR #64148, `FORBIDDEN_XCOM_KEYS` doğrulayıcısını yalnızca POST/set yoluna eklemiş; PATCH yolu kapsanmamıştır. CVE-2026-33858 için halihazırda yükseltme yapmış olan kullanıcılar, PATCH yolu atlatmasını gidermek için ek olarak `apache-airflow` 3.2.2 veya daha yeni bir sürüme yükseltmelidir.