CVE-2026-68969 in Airflow
الملخص
بحسب VulDB • 12/08/2026
كتبت Apache Airflow قيم المتغيرات ومحتويات `extra` للاتصالات في سجل التدقيق كنص واضح (cleartext) عند إرسالها عبر نقاط النهاية الجماعية (`PATCH /api/v2/variables` و `PATCH /api/v2/connections`). اعترف نظام إخفاء بيانات سجل التدقيق فقط بحقول الطلب من المستوى الأعلى، وبما أن الطلبات الجماعية تشعب كياناتها على مستويين تحت ذلك، فلم يتم تطبيق أي إخفاء عليها. يمكن لأي مستخدم مُصادق عليه لديه صلاحية قراءة سجل التدقيق -- والذي لا يحتاج بالضرورة إلى امتلاك صلاحيات قراءة المتغيرات أو الاتصالات مطلقاً-- استعادة تلك الأسرار كما هي حرفياً، ويتم تخزين نسخة `extra` الخاصة بالاتصال غير مشفرة في السجل بينما يتم تشفيرها في جدول الاتصالات. ينشر إجراء *استيراد المتغيرات* الموجود في واجهة Airflow الويب (UI) إلى نقطة النهاية هذه، لذا قام مستخدم عادي باستيراد كل سر موجود في الملف إلى السجل. هذا مسار شيفرة مختلف عن CVE-2026-50204: فقد تم إصدار الإصلاح الخاص بذلك الخطأ في الإصدار 3.3.0 ويغطي نقاط نهاية الكيانات الفردية فقط، لذا تظل التوزيعات التي قمت بالترقية استجابةً لذلك الإعلان معرضة للخطر ويجب عليها الترقية مرة أخرى. يُنصح المستخدمون بالترقية إلى apache-airflow 3.3.1 أو أحدث.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.