CVE-2025-30473 in Airflow Common SQL Provider
Resumen
por VulDB • 2026-05-28
Vulnerabilidad de 'Inyección SQL' por neutralización inadecuada de elementos especiales utilizados en un comando SQL ('SQL Injection') en el Proveedor SQL Común de Apache Airflow.
Al utilizar la cláusula partition en SQLTableCheckOperator como parámetro (lo cual era un patrón recomendado), un usuario de la interfaz de usuario (UI) autenticado podría inyectar comandos SQL arbitrarios al desencadenar un DAG, exponiendo partition_clause al usuario. Esto permitía al usuario que desencadenaba el DAG escalar privilegios para ejecutar esos comandos arbitrarios que normalmente no tendría permitido ejecutar.
Este problema afecta a Apache Airflow Common SQL Provider: versiones anteriores a 1.24.1.
Se recomienda a los usuarios actualizar a la versión 1.24.1, que corrige el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.