CVE-2026-68971

Apache Airflow'un asset materialization uç noktası (`POST /api/v2/assets/{asset_id}/materialize`) ve `wait_dag_run_until_finished` üzerindeki XCom sonuç kontrolü, diğer tüm yetkilendirme noktalarından farklı olarak hedef Dag'i ekibi olmadan yetkilendiriyordu. Ekip farkındalığına sahip bir yetkilendirme yöneticisi, ekip kapsamlı bir Dag'i global olandan bu alan aracılığıyla ayırt eder -- örneğin Keycloak yetkilendirme yöneticisi `DAG:<team>` yerine `DAG` kaynağını kontrol eder -- bu nedenle isteği denetlemesi gereken ekip kapsamlı izin hiçbir zaman sorgulanmıyordu. Çok ekipli modda ve ekip farkındalığına sahip bir yetkilendirme yöneticisiyle çalışan bir dağıtımda, bir ekipteki kimliği doğrulanmış bir kullanıcı, kendi `dag_run_id` ve `conf` değerlerini sağlayarak başka bir ekibe ait Dag çalıştırmalarını tetikleyebiliyor ve başka bir ekibin XCom değerlerini okuyabiliyordu. FAB yetkilendirme yöneticisini kullanan dağıtımlar etkilenmez, çünkü bu yöneticinin çok ekipli desteği yoktur. Kullanıcıların, Dag'in ekibini her iki noktada da çözen apache-airflow 3.3.1 veya sonraki bir sürüme yükseltme yapmaları önerilir.