CVE-2026-49487
Açıklama
Apache Airflow 3.3.0 öncesindeki sürümlerde, REST API task-instance detay ve liste uç noktaları, ertelenmiş bir görevin trigger kwargs değerlerini maskelemeden döndürüyordu. Ertelenmiş bir operatör, tetikleyicisine gizli bir bilgi (örneğin bir sağlayıcı API anahtarı) ilettiğinde, ilgili DAG için DAG kapsamlı task-instance okuma erişimine sahip herhangi bir kimliği doğrulanmış kullanıcı, görev ertelendiği sürece bu gizli bilgiyi açık metin olarak okuyabiliyordu. Kullanıcıların, API tarafından döndürülen trigger kwargs içindeki hassas değerleri maskeleyen apache-airflow 3.3.0 veya daha yeni bir sürüme yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache airflow3.3.0 ya da sonraki bir sürüm
- apache-airflow3.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | v < 3.3.0 | 3.3.0 |
| apache-airflowPyPI | v < 3.3.0 | 3.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.