CVE-2026-82355

Airflow çekirdek API'sine yapılan bir istek hem bir oturum çerezi hem de açık bir `Authorization: Bearer` belirteci taşıdığında, Airflow çağrıyı yapan kişiyi çerezden çözümleyerek bearer belirtecini yoksayar ve böylece bearer belirtecinin çereze göre öncelikli olması gereken durumunu tersine çevirir. İstek daha sonra, istemcinin açıkça sunduğu kimlik yerine çerezin asıl kullanıcısı olarak yürütülür ve denetim günlüğüne kaydedilir. Yalnızca Apache Airflow 3.3.0 ve 3.3.1 sürümleri etkilenmektedir. Daha önceki sürümler, çerezden türetilen kullanıcıyı önbelleğe alan kod yoluna sahip değildir ve savunmasız değildir. Bunun istismar edilmesi için saldırganın önce kurbanın tarayıcısına veya istemcisine kendi geçerli oturum çerezini yerleştirmesi gerekir: örneğin kardeş bir alt alan adından çerez fırlatma yoluyla, üst alanı paylaşan ayrı bir uygulamadaki siteler arası betik çalıştırma (XSS) aracılığıyla veya paylaşılan bir iş istasyonu üzerinden. Bu nedenle, Airflow UI'ı diğer uygulamalarla paylaşılan bir alan adında barındıran dağıtımlar en çok risk altında olanlardır; birlikte barındırılan uygulama bulunmayan özel bir alan adındaki dağıtıma bu şekilde erişilemez. Bunun sonucu doğrudan bir yetki yükseltmeden ziyade, asıl kullanıcı karmaşası ve yanlış ilişkilendirilmiş denetim kayıtlarıdır. 3.3.0 veya 3.3.1 kullanıcıları, mevcut olduğu her durumda çağrıyı yapan kişiyi açıkça sağlanan kimlik bilgileriyle çözümleyen Apache Airflow 3.3.2 veya daha yeni bir sürüme yükseltmelidir.