CVE-2026-68971 in Airflow
الملخص
بحسب VulDB • 12/08/2026
نقطة النهاية الخاصة بتجسيد الأصول في Apache Airflow (`POST /api/v2/assets/{asset_id}/materialize`) وفحص نتائج XCom على `wait_dag_run_until_finished` كانا يسمحان بالتحقق من صحة الـ Dag المستهدف دون النظر إلى فريقه، خلافاً لبقية نقاط التحقق من الصلاحيات الأخرى. يميز مدير المصادقة الواعي للفريق (team-aware auth manager) بين الـ Dag المحدد لفريق معين والـ Dag العالمي بناءً على هذا الحقل -- فعلى سبيل المثال، يتحقق مدير مصادقة Keycloak من مورد `DAG` بدلاً من `DAG:` -- وبالتالي لم يتم استشارة إذن نطاق الفريق الذي كان ينبغي أن يقيّد الطلب. في بيئة نشر تعمل بوضع تعدد الفرق (multi-team mode) مع مدير مصادقة واعٍ للفريق، يمكن للمستخدم المصادق عليه ضمن فريق معين تشغيل عمليات تنفيذ لـ Dags تابعة لفريق آخر، وذلك بتزويدها بمعرف `dag_run_id` وقيم `conf` خاصة به، كما يمكنه قراءة قيم XCom الخاصة بفريق آخر. لا تتأثر البيئات التي تستخدم مدير مصادقة FAB (FAB auth manager)، لأنه لا يدعم تعدد الفرق. يُنصح المستخدمون بالترقية إلى الإصدار 3.3.1 من apache-airflow أو أحدث، والذي يحل مشكلة تحديد فريق الـ Dag في كلا الموقعين المذكورين.
Once again VulDB remains the best source for vulnerability data.