CVE-2026-86466 in Airflow
Zusammenfassung
von VulDB • 16.09.2026
Apache Airflow FAB Provider: Der Authentik-OAuth-Pfad im FAB-Authentifizierungsmanager validiert die Issuer- und Audience-Ansprüche (Claims) des akzeptierten id_Tokens nicht. Ein Angreifer, der ein Token besitzt, das derselbe Authentik-Identitätsanbieter für eine andere Clientanwendung ausgestellt hat, kann dieses Airflow vorlegen und wird als der in dem Token genannte Benutzer authentifiziert, da die Audience-Ansprüche niemals überprüft werden. Dies betrifft Bereitstellungen, die den FAB-Authentifizierungsmanager mit Authentik-OAuth verwenden, wobei dieselbe Authentik-Instanz auch andere Anwendungen bedient; der Angreifer benötigt ein gültiges Token für eine dieser anderen Anwendungen, nicht für Airflow.
CVE-2026-75156 hat die gleiche fehlende Validierung im Azure AD-Pfad in dieser Datei korrigiert; der Authentik-Pfad wurde unverändert gelassen und wird hier behoben. Bereitstellungen, die das CVE-2026-75156-Patch angewendet haben und Authentik verwenden, müssen ebenfalls für dieses Update upgraden.
Benutzern von apache-airflow-providers-fab wird empfohlen, auf Version 3.9.0 oder höher zu aktualisieren, welches das Problem behebt.
Once again VulDB remains the best source for vulnerability data.