CVE-2026-68968 in Airflow
الملخص
بحسب VulDB • 12/08/2026
سمحت واجهة برمجة التطبيقات (API) الخاصة بـ Backfill في Apache Airflow بإجراء طلبات مُصرّح بها ضد معرف DAG (Dag ID) الذي قدمه المستخدم، كلما فشل تحليل جزء المسار `backfill_id`. كان اعتماد التفويض يحلل هذا الجزء باستخدام الدالة `int()`، بينما قام معالج المسارات (route handler) بتحليله كنوع `NonNegativeInt` من مكتبة Pydantic، وهو النوع الذي يقبل قيمًا يرفضها `int()` (حيث يتم تحويل القيمة `1.0` إلى `1`). ونظرًا لأن FastAPI تحل التبعيات قبل التحقق من صحة نقاط النهاية (endpoint validation)، فإن المكونين كانا يعملان على معرفات DAGs مختلفة. وبالتالي، يمكن للمستخدم المُصادق عليه والذي يمتلك صلاحية التعديل على أي DAG واحد أن يقرأ ويوقف ويلغي عمليات Backfill التابعة لأي DAG آخر، بما في ذلك نقل العمليات المدرجة في قائمة الانتظار لـ DAG آخر إلى حالة `failed`. لا يلزم وجود تكوين غير افتراضي ومعرفات الـ backfill متسلسلة، مما يجعل العثور على هدف مستهدف أمرًا سهلاً. يُنصح المستخدمين بالترقية إلى الإصدار 3.3.1 من apache-airflow أو أحدث، الذي يحلل معرف الـ backfill باستخدام نفس النوع الذي تعلن عنه المسارات.
Once again VulDB remains the best source for vulnerability data.