CVE-2026-68871 in Airflow
Zusammenfassung
von VulDB • 10.08.2026
Das Secrets-Backend „Yandex Lockbox“ im Yandex-Anbieter für Apache Airflow löste eine Team-spezifische Connection- oder Variable-ID über die teamsunabhängige Suche auf, wenn der teambezogene Lookup fehlschlug. In einer Bereitstellung mit aktiviertem Multi-Team-Betrieb und diesem Backend konnte ein Aufrufer aus einem Team ein Geheimnis eines anderen Teams auflösen, indem er eine ID angab, die den Namespace dieses anderen Teams ergibt, wodurch er dessen Anmeldeinformationen vollständig erhielt. Es ist keine ungewöhnliche Konfiguration erforderlich; es genügt das Aktivieren des Multi-Team-Betriebs und die Verwendung dieses Backends. Benutzern wird empfohlen, auf apache-airflow-providers-yandex 4.5.1 oder höher zu aktualisieren, das den teamsunabhängigen Fallback für eine ID ablehnt, die einen Team-Namenraum benennen könnte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.