CVE-2026-42526
Açıklama
`apache-airflow-providers-amazon` sürüm 9.28.0 öncesindeki AWS Secrets Manager ve SSM Parameter Store sır arka uçlarında, çağıran tarafın ekip bağlamı olmadığı durumlarda, ekip kapsamlandırma mantığı `/` içeren bir `conn_id` değerini (örneğin `"my_team/conn"`) başka bir ekibin ekip kapsamlı sırrı ile aynı yola çözümleyebiliyordu. Bu nedenle, ekip bağlamına sahip olmayan ayrıcalıklı bir kullanıcı, çakışan bir `conn_id` oluşturarak başka bir ekibin sırrını elde edebilirdi. Sorun, ekip kapsam ayırıcısının `--` olarak değiştirilmesi ve ekip bağlamı olmadığında ekip biçimli `conn_id`lerin reddedilmesiyle 9.28.0 sürümünde düzeltilmiştir. Bu durum yalnızca deneysel çok kiracılı ekipler özelliğini etkilemektedir. Kullanıcıların sorunu gideren `apache-airflow-providers-amazon` 9.28.0 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache apache-airflow-providers-amazon9.28.0 ya da sonraki bir sürüm
- apache-airflow-providers-amazon9.28.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache apache-airflow-providers-amazon | v < 9.28.0 | 9.28.0 |
| apache-airflow-providers-amazonPyPI | v < 9.28.0 | 9.28.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.