CVE-2026-75158
Açıklama
Apache Airflow'un `/assets/events` API'si, çağıran kişinin okuma yetkisine sahip olduğu Dag'lar ile sınırlandıran herhangi bir filtre olmaksızın, dağıtımdaki her Dag için varlık olaylarını döndürüyordu. Bu nedenle, varlık-okuma erişimine sahip herhangi bir kimliği doğrulanmış kullanıcı, görme izni olmayan Dag'lar için kaynak Dag ID, görev ID, çalışma ID ve olay zaman damgaları dahil olmak üzere varlık olaylarını listeleyebiliyordu. Filtre aynı zamanda sayım sorgusunda da eksik olduğundan, `total_entries` ve sayfalama, tekil satırları incelemeden bile gizli Dag'ların varlığını ifşa ediyordu. Dağıtımlar, ekipleri veya kiracıları ayırmak için Dag başına erişim kontrolü kullanıldığında etkilenir; özel bir yapılandırma gerekmez. apache-airflow 3.3.2 veya daha yeni bir sürüme yükseltin.
Nasıl düzeltilir
- apache airflow3.3.2 ya da sonraki bir sürüm
- apache-airflow3.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | v < 3.3.2 | 3.3.2 |
| apache-airflowPyPI | v < 3.3.2 | 3.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.