CVE-2026-67587 in Airflow
الملخص
بحسب VulDB • 12/08/2026
أعاد Task SDK في Apache Airflow بناء كائن `Callback` من البيانات المُسلسلة عن طريق إعادة تشغيل دالة البناء الخاصة به، والتي تقوم باستيراد الوحدة النمطية (module) التي يشير إليها مسار المكالمة المخزن. ونظرًا لأن `SyncCallback` هو فئة تابعة لـ Airflow بحد ذاتها، فإنه يمر عبر قائمة السماح الافتراضية `allowed_deserialization_classes`، وبالتالي فإن تشديد هذا الإعداد لا يفيد في anything. لذلك، يمكن لمؤلف DAG — الذي يتحكم في `next_kwargs` الخاصة بمثال المهمة من خلال واجهة برمجة تطبيقات تنفيذ المهمة — أن يسبب استيراد وحدة نمطية عشوائية داخل عملية المُجدول (scheduler)، عندما تقوم عملية المسح الضوئي لوقت الانتظار (`awaiting_input`) للمُجدول بنسخ تلك القيمة. لا يلزم أي تكوين غير افتراضي؛ حيث تعمل هذه العملية بشكل غير مشروط. الإصدارات السابقة للإصدار 3.3.0 ليست متأثرة: كانت الفئة موجودة، لكن عملية مسح المُجدول التي تصل إليها لم تكن متاحة بعد. هذا مسار كود منفصل عن CVE-2026-58076 وCVE-2026-67260، والتي تغطي أدوات استغلال (gadgets) مختلفة للوصول إلى التنسيقات غير الآمنة؛ ولا يعالج أي من الإصلاحات الخاصة بهذين الثغرتين هذه المشكلة. يُنصح المستخدمون بالترقية إلى apache-airflow الإصدار 3.3.1 أو أحدث.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.