CVE-2026-45426

İstismar edilmesi için saldırganın halihazırda kimliği doğrulanmış bir Airflow worker olması ve en az bir Dag için düzenlenmiş geçerli bir Log-server JWT tokenına sahip olması gerekir. Apache Airflow'un Log sunucusu, JWT'nin `sub` talebini doğrularken istenen yol segmentine Python'un `str.lstrip()` fonksiyonunu uygulayarak JWT tokenlarını Dag ID'lerine göre yetkilendiriyordu. `str.lstrip()`, soldan (bir ön ek değil) belirli bir karakter kümesindeki herhangi bir karakteri temizler; bu nedenle örneğin `dag_a` adlı bir Dag için düzenlenen bir JWT, adı `{d, a, g, _}` karakterlerinin herhangi bir alt kümesiyle başlayan diğer tüm Dag'lar (örneğin `dag_attacker`, `aaaa_target`, `_dag_secret`) için günlük erişim yetkisi verirdi. Kimliği doğrulanmış böyle bir worker, isimleri tesadüfen aynı karakter sınıfı ön ekini paylaşan diğer Dag'ların worker günlüklerini listeleyebilir ve okuyabilir; bu durum, belgelenen Dag başına izolasyon sınırının ötesinde görev çıktıları ve hata izlerinin sızmasına neden olur. Dag başına günlük erişim kapsamına dayanan dağıtımlar (çok ekipli, paylaşımlı yürütücü, paylaşımlı worker topolojileri) etkilenmektedir. Kullanıcıların `apache-airflow` 3.2.2 veya daha yeni bir sürüme yükseltmeleri önerilir.