CVE-2026-58076

Apache Airflow'un serileştirme katmanı, istisna düğümlerini serileştirilmiş blob'dan alınan bir sınıf adı üzerinde `import_string()` çağırarak ve aynı blob'dan gelen argümanlarla örnekleyerek yeniden oluşturuyordu; neyin içe aktarılabileceğine dair hiçbir kısıtlama yoktu. Bir operatörün `executor_config` değeri bu dala ulaşır, dolayısıyla bir Dag yazarı buraya keyfi bir çağrılabilirin içe aktarılıp çağrılmasına neden olan bir değer yerleştirebilirdi -- örneğin `subprocess.check_output` veya `builtins` önekli varyant üzerinde `builtins.eval`. Kod, normal döngüsünde serileştirilmiş Dag'ları hiçbir istek söz konusu olmadan yeniden oluşturan **Scheduler**'da ve Dag'ın `GET /api/v2/dags/{dag_id}/details` gibi kimliği doğrulanmış herhangi bir okunmasında **API server**'da çalışır. Her ikisi de Airflow güvenlik modelinin Dag yazarı kodunu asla çalıştırmaması gerektiğini belirttiği bileşenlerdir ve her ikisi de metadata veritabanı kimlik bilgilerini ve JWT imzalama sırrını tutar. Varsayılan olmayan hiçbir yapılandırma gerekmez. Bu, aynı deserializer'ın yalnızca trigger dalını kapsayan **CVE-2026-33264'ten farklı bir sink'tir**: o uyarıya yanıt olarak yükseltme yapan dağıtımlar hâlâ istisna dalı üzerinden etkilenmektedir ve tekrar yükseltme yapmalıdır. Kullanıcıların, içe aktarılan sınıfı `BaseException`'ın bir alt sınıfıyla sınırlayan apache-airflow 3.3.1 veya sonraki bir sürüme yükseltme yapmaları önerilir.