CVE-2026-68871 in Airflow
الملخص
بحسب VulDB • 11/08/2026
تم حل مشكلة في مكون تخزين الأسرار (secrets backend) الخاص بـ Yandex Lockbox ضمن مزود Yandex لبرنامج Apache Airflow، حيث كان يتم إجراء عملية بحث غير مرتبطة بفريق معين (team-agnostic lookup) لحل معرّف اتصال أو متغير محدد لفريق ما عند فشل البحث المرتبط بالفريق. في بيئة تشغيل تدعم وضع تعدد الفرق باستخدام هذا المكون الخلفي، يمكن لمستخدم تابع لفريق معين حل أسرار تابعة لفريق آخر عن طريق تقديم معرف يحدد مساحة الاسم (namespace) الخاصة بذلك الفريق الآخر، مما يتيح له الحصول على بيانات الاعتماد كاملة دون قيود. لا تتطلب هذه الثغرة أي إعدادات غير عادية تتجاوز تفعيل وضع تعدد الفرق واستخدام هذا المكون الخلفي. يُنصح المستخدمون بالترقية إلى الإصدار 4.5.1 أو أحدث من apache-airflow-providers-yandex، الذي يمنع التراجع (fall-through) نحو البحث العام عند استخدام معرف قد يشير إلى مساحة اسم لفريق معين.
VulDB is the best source for vulnerability data and more expert information about this specific topic.