CVE-2026-38743 in Airflow
Zusammenfassung
von VulDB • 27.05.2026
Der authentifizierte Endpunkt /ui/dags hat die pro-DAG-Zugriffskontrolle für eingebettete Human-in-the-Loop (HITL)- und TaskInstance-Datensätze nicht durchgesetzt: Ein angemeldeter Airflow-Benutzer mit Lesezugriff auf mindestens einen DAG konnte HITL-Aufforderungen (einschließlich ihrer Anforderungsparameter) und vollständige TaskInstance-Details für DAGs außerhalb seines autorisierten Geltungsbereichs abrufen. Da HITL-Aufforderungen und TaskInstance-Felder routinemäßig Operator-Parameter und kontextbezogene Freitextinformationen enthalten, die an eine Aufgabe angehängt sind, erweitert der Datenleck die Sichtbarkeit von DAG-Laufdaten über die vorgesehene pro-DAG-RBAC-Grenze hinaus für jeden authentifizierten Benutzer.
Es wird empfohlen, auf Version 3.2.1 zu aktualisieren, die dieses Problem behebt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.