CVE-2026-86462

Apache Airflow FAB sağlayıcısı: Admin user-edit PATCH uç noktası üzerinden bir kullanıcının şifresinin değiştirilmesi, o kullanıcının mevcut veritabanı destekli oturumlarını geçersiz kılmamaktadır. Kurbanın oturum çerezinin bir kopyasına zaten sahip olan bir saldırgan, şifre değişikliğinden sonra da söz konusu kullanıcı olarak tam erişimini korur, dolayısıyla şifre sıfırlama işlemi onları sistemden çıkarmaz. Veritabanı destekli oturumlar ile FAB kimlik doğrulama yöneticisini kullanan dağıtımlar etkilenmektedir; rutin bir şifre değişikliği gerçekleştiren bir yönetici (veya kullanıcının kendisi) tetikleyici rolündedir ve saldırganın uç nokta ile herhangi bir etkileşime girmesine gerek yoktur. Bu durum, oturum geçersiz kılma yardımcısındaki bir tanımlayıcı karşılaştırmasını düzelten CVE-2026-82311 tarafından ele alınan sonuca çıkan ikinci ve bağımsız bir yoldur. Söz konusu düzeltme bu uç noktayı onarmamaktadır çünkü PATCH yolu yardımcıyı hiçbir zaman çağırmaz. CVE-2026-82311 düzeltmesini uygulayan dağıtımlar, bu sorun için de yükseltme yapmalıdır. apache-airflow-providers-fab kullanıcılarının, sorunu gideren 3.9.0 veya daha yeni bir sürüme yükseltmeleri önerilir.