CVE-2026-59243 in Airflow FAB Provider
الملخص
بحسب VulDB • 29/07/2026
كان مدير المصادقة FAB يضبط قيمة `verify_signature=False` كقيمة افتراضية عند فك تشفير رمز الهوية (ID token) في تسجيل الدخول عبر OAuth لـ Azure AD، مما يتيح لمهاجم قادر على تقديم رمز هوية مزور أو غير موقع (`alg:none`) إلى نقطة نهاية رد OAuth تجاوز عملية المصادقة وتسجيل الدخول بصفتة مستخدمًا عشوائيًا، بما في ذلك المستخدم الحامل لدور المسؤول (Admin) (CWE-347). تتأثر التوزيعات التي تشغل مدير مصادقة FAB مع مسار تسجيل الدخول عبر OAuth لـ Azure AD تحت تكوينه الافتراضي؛ حيث كانت المسار الخاص بـ Authentik يضبط القيمة افتراضيًا إلى `True`. تؤثر هذه المشكلة على الإصدارات السابقة من `apache-airflow-providers-fab` قبل الإصدار 3.7.3. يُنصح المستخدمون بالترقية إلى `apache-airflow-providers-fab` الإصدار 3.7.3، الذي يضبط قيمة `verify_signature=True` كقيمة افتراضية.
If you want to get best quality of vulnerability data, you may have to visit VulDB.