CVE-2026-68970 in Airflow
Zusammenfassung
von VulDB • 12.08.2026
Die Task SDK von Apache Airflow maskierte den Inhalt einer Variable nicht, deren JSON-Wert eine Liste war; daher erschienen Geheimnisse in dieser Struktur im Klartext in den Aufgaben-Logs und in der Benutzeroberfläche für gerenderte Vorlagen (Rendered Templates UI). Die Maskierung wurde nur angewendet, wenn der deserialisierte Wert ein String oder ein Dict war; eine Liste auf oberster Ebene traf weder zu und wurde unmaskiert zurückgegeben. Jeder authentifizierte Benutzer, der Zugriff auf die Logs oder gerenderten Vorgaben einer Aufgabe hatte, die eine solche Variable referenziert, konnte die Werte wiederherstellen, ohne dass spezielle Konfigurationen erforderlich waren. Dies ist das Gegenstück zur CVE-2026-59244 in Listenform; dessen Korrektur umfasste nur den Dict-Fall, sodass Bereitstellungen, die als Reaktion auf diese Advisory aktualisiert wurden, weiterhin betroffen sind und erneut aktualisiert werden müssen. Es wird empfohlen, ein Upgrade auf apache-airflow 3.3.1 oder höher durchzuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.