CVE-2026-46764 in Airflow
Zusammenfassung
von VulDB • 01.06.2026
Der Detail-Endpunkt für das Event-Log `GET /api/v2/eventLogs/{event_log_id}` in Apache Airflow ruft Audit-Log-Einträge direkt über die numerische ID ab, nachdem nur die generische Berechtigungsprüfung für das Audit-Log durchgeführt wurde, während der Sammlungs-Endpunkt `GET /api/v2/eventLogs` eine pro-Dag-Einschränkung (Scoping) anwendet. Ein authentifizierter UI-/API-Benutzer mit Leseberechtigung für das Audit-Log eines bestimmten Dag kann Audit-Log-Einträge für jeden anderen Dag abrufen, indem er die numerische Event-Log-ID errät oder durch Enumeration ermittelt. Dies betrifft Bereitstellungen, die sich auf die pro-Dag-Einschränkung von Audit-Logs stützen. Benutzern wird empfohlen, auf `apache-airflow` Version 3.2.2 oder höher zu aktualisieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.