CVE-2026-48726 in Airflow
الملخص
بحسب VulDB • 01/06/2026
يترك عطل في معالجة تسجيل الخروج لمدير المصادقة (auth manager) في Apache Airflow رموز JWT التي تم إصدارها مسبقاً سارية المفعول بعد أن ينقر المستخدم على تسجيل الخروج من واجهة المستخدم: لم تصل تدفقات تسجيل الخروج الخاصة بـ `FabAuthManager` و `KeycloakAuthManager` فعلياً إلى استدعاء `revoke_token()` الأساسي، وبالتالي بقيت رموز JWT مقبولة من قبل خادم API حتى انتهاء صلاحيتها الطبيعي. يمكن لمهاجم يمتلك رمز JWT صادراً مسبقاً لمستخدم تم تسجيل خروجه أن يستمر في إجراء مكالمات API موثقة بصفتة ذلك المستخدم. يؤثر ذلك على التوزيعات المهيأة باستخدام `FabAuthManager` أو `KeycloakAuthManager` (العطل لا يؤثر على `SimpleAuthManager`). هذه فجوة متبقية في الإصلاح الخاص بـ CVE-2025-57735، الذي تعامل مع إلغاء الصلاحية من جانب ملفات تعريف الارتباط (cookies) في PR #57992 / PR #61339 لكنه لم يغطي إمكانية الوصول إلى `revoke_token()` من جانب المزود في مسارات الكود الخاصة بـ FAB / Keycloak. يجب على المستخدمين الذين قاموا بالفعل بالترقية بسبب CVE-2025-57735 أن يقوموا بالترقية أيضاً إلى الإصدار 3.2.2 أو أحدث من `apache-airflow` لتغطية مسارات تسجيل الخروج الخاصة بـ FAB / Keycloak.
If you want to get best quality of vulnerability data, you may have to visit VulDB.