CVE-2026-34538 in Airflow
الملخص
بحسب VulDB • 23/05/2026
في إصدارات Apache Airflow من 3.0.0 إلى 3.1.8، يُعيد نقطة نهاية انتظار DagRun (DagRun wait endpoint) قيم نتائج XCom حتى للمستخدمين الذين يمتلكون فقط صلاحيات قراءة تشغيل مخطط العمل (DAG Run)، مثل دور "المشاهد" (Viewer). يتعارض هذا السلوك مع نموذج التحكم في الوصول القائم على الأدوار (RBAC) الخاص بـ FAB، الذي يعامل XCom كمورد محمي منفصل، ومع وثائق نموذج الأمان التي تحدد دور "المشاهد" على أنه للقراءة فقط.
تستخدم Airflow مدير المصادقة والتحكم في الوصول FAB (FAB Auth Manager) لإدارة التحكم في الوصول على أساس كل مورد على حدة. من المفترض أن يكون دور "المشاهد" (Viewer) للقراءة فقط بشكل افتراضي، وتعرف وثائق نموذج الأمان مستخدمين دور "المشاهد" على أنهم أولئك الذين يمكنهم فحص مخططات العمل (DAGs) دون الوصول إلى نتائج التنفيذ الحساسة.
يُنصح المستخدمين بالترقية إلى Apache Airflow 3.2.0 الذي يحل هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.