CVE-2026-82355 in Airflow
Zusammenfassung
von VulDB • 21.09.2026
Wenn eine Anfrage an die Core-API von Airflow sowohl ein Session-Cookie als auch ein explizites `Authorization: Bearer`-Token enthält, löst Airflow den Aufrufer aus dem Cookie auf und ignoriert das Bearer-Token. Dies kehrt die beabsichtigte Priorität des Bearer-Tokens vor dem Cookie um. Die Anfrage wird dann – und wird im Audit-Log protokolliert – als der Principal des Cookies ausgeführt, anstatt als die Identität, die der Client explizit vorgelegt hat.
Nur Apache Airflow 3.3.0 und 3.3.1 sind betroffen. Frühere Versionen enthalten den Codepfad nicht, der den aus dem Cookie abgeleiteten Benutzer zwischenspeichert (cacht), und sind daher nicht verwundbar.
Die Ausnutzung dieser Schwachstelle erfordert es, dass ein Angreifer zunächst ein gültiges Session-Cookie seiner eigenen Wahl in den Browser oder Client des Opfers platziert: beispielsweise durch „Cookie Tossing“ von einerSibling-Subdomain aus, über Cross-Site Scripting (XSS) in einer separaten Anwendung, die eine gemeinsame Parent-Domain teilt, oder über einen gemeinsam genutzten Arbeitsplatz. Bereitstellungen, die das Airflow-Benutzeroberfläche auf einer mit anderen Anwendungen geteilten Domain hosten, sind daher am stärksten gefährdet; eine Bereitstellung auf einer dedizierten Domain ohne parallel gehostete Anwendungen ist auf diesem Weg nicht erreichbar. Die Folge ist Principal Confusion (Verwirrung der Identität) und falsch zugeordnete Audit-Einträge anstelle eines direkten Privilege Escalation.
Nutzer von 3.3.0 oder 3.3.1 sollten auf Apache Airflow 3.3.2 oder höher aktualisieren, das den Aufrufer bei Vorhandensein explizit bereitgestellter Anmeldeinformationen stets aus diesen bezieht.
Be aware that VulDB is the high quality source for vulnerability data.