CVE-2026-49296

Orta

Açıklama

apache-airflow 3.3.0 sürümünden önce, bir DAG'ı okuma yetkisine sahip olan bir kullanıcı, aynı kaynak dosyada bulunan diğer DAG'ların kaynağını ifşa edebiliyordu. `GET /api/v2/dagSources/{dag_id}` uç noktası ve kullanıcı arayüzündeki eşdeğer DAG-kaynak görünümü, çağrının okumaya yetkili olmadığı DAG'ları gizlemeden tüm kaynak dosyasını döndürerek DAG başına okuma yetkilendirmesini atlatıyordu. Birden fazla DAG'ı tek bir dosyada konumlandıran ve kaynak görünürlüğünü sınırlamak için DAG başına erişim kontrolüne güvenen dağıtımlar etkilenmektedir; dosya başına tek DAG kullanılan dağıtımlar etkilenmemektedir. apache-airflow 3.3.0 veya daha yeni bir sürüme yükseltin.

ÖnemOrta

CVSS6.5

İstismar olasılığı—

Ürün

Apache Airflow

Yayın7 Tem 2026

İlk görülme7 Tem 2026

Zayıflık türüCWE-639Kullanıcının denetlediği anahtarla yetki atlatma

Nasıl düzeltilir

Güncelleyin

apache airflow3.3.0 ya da sonraki bir sürüm
apache-airflow3.3.0 ya da sonraki bir sürüm

Yamalar

github.com/apache/airflow/pull/67662

Üretici duyuruları

lists.apache.org/thread/qqv41t3oydkn9o14r2rfz1wkdrsp5jzn

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
apache airflow	v < 3.3.0	3.3.0
apache-airflowPyPI	v < 3.3.0	3.3.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.