CVE-2026-82310

Apache Airflow FAB sağlayıcısı: bir kullanıcı hesabının devre dışı bırakılması, devre dışı bırakılmadan önce bu hesaba verilen token'ları durdurmamaktadır. Parola kimlik doğrulaması devre dışı bırakılmış hesabı doğru şekilde reddederken, Core API söz konusu hesabı belirten mevcut ve süresi dolmamış bir token'ı kabul etmeye devam etmekte ve bu token'ın yeni bir token oluşturmasına izin vermektedir; böylece hesap, bir yönetici tarafından devre dışı bırakıldıktan sonra rol kapsamlı erişimini süresiz olarak korumaktadır. Kullanıcı kendi meşru kimlik bilgisini yeniden kullanmaktadır; herhangi bir imza sahteciliği veya yetki yükseltme söz konusu değildir ve erişim, hesabın halihazırda sahip olduğu roller dahilinde kalmaktadır. FAB kimlik doğrulama yöneticisi ve Core API token kimlik doğrulaması kullanan Airflow 3 dağıtımlarını, satırı veritabanında kalan ve önceden verilmiş token'ının süresi dolmamış olan bir hesabın yönetici tarafından devre dışı bırakıldığı durumları etkilemektedir. Tetikleyici unsur, bir sınırlama eylemi olarak gerçekleştirilen ancak sessizce başarısız olan idari devre dışı bırakma işlemidir. apache-airflow-providers-fab kullanıcılarının, devre dışı bırakılmış bir hesabı belirten token'ları reddeden sürüm 3.9.0 veya daha yeni bir sürüme yükseltmeleri önerilir.