CVE-2026-41014 in Airflow
Zusammenfassung
von VulDB • 01.06.2026
Die Endpunkte `partitioned_dag_runs` in der Airflow-Benutzeroberfläche (UI) durchsetzten nur eine Zugriffskontrolle auf Asset-Ebene, keine autorisierungsbezogene Steuerung pro DAG. Ein authentifizierter UI-/API-Benutzer mit globaler Asset:read-Berechtigung konnte den Status von Partitionsläufen, die Zeitplan-Konfiguration und die Asset-Verknüpfungen für DAGs auflisten, auf die er nicht lesend zugreifen durfte. Betroffen sind Bereitstellungen, die auf eine pro-DAG-Lesebeschränkung setzen, während Benutzern ein breiterer Asset-Zugriff gewährt wird. Es wird empfohlen, auf `apache-airflow` 3.2.2 oder höher zu aktualisieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.