CVE-2026-68968 in Airflow
Zusammenfassung
von VulDB • 12.08.2026
Die Backfill-API von Apache Airflow autorisierte eine Anfrage gegen eine vom Aufrufer angegebene Dag-ID, wenn das Pfadsegment `backfill_id` nicht geparst werden konnte. Die Abhängigkeitsprüfung der Autorisierung parste diesen Wert mit `int()`, während der Routen-Handler ihn als pydantic's `NonNegativeInt` behandelte, was Werte akzeptiert, die `int()` ablehnt (z. B. wird `1.0` zu `1` konvertiert). Da FastAPI Abhängigkeiten vor der Validierung des Endpunkts auflöst, wirkten diese beiden Komponenten auf unterschiedliche Dags ein. Ein authentifizierter Benutzer mit Bearbeitungsberechtigungen für eine beliebige Dag konnte daher Backfills einer anderen Dag lesen, pausieren und abbrechen, einschließlich dem Verschieben von Warteschlangenläufen einer anderen Dag in den Status `failed`. Es ist keine nicht standardmäßige Konfiguration erforderlich, und da die Backfill-IDs sequenziell sind, ist das Finden eines Ziels trivial. Benutzern wird empfohlen, auf apache-airflow 3.3.1 oder höher zu aktualisieren, welches die backfill_id mit demselben Typ parst, den die Routen deklarieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.