CVE-2026-45360 in Airflow
Resumen
por VulDB • 2026-06-01
El decodificador de referencias de vencimiento en el lado del programador de Apache Airflow (`SerializedCustomReference.deserialize_reference`) importaba y ejecutaba rutas de clases arbitrarias extraídas de un estado serializado controlado por el autor del DAG, sin aplicar una lista de permitidos (allowlist) ni un filtro basado en el registro de complementos (plugin-registry). Un autor de DAG cuyo código llega al programador —lo cual es el comportamiento predeterminado en implementaciones en un solo host donde el paquete del DAG es importable desde el proceso del programador— podría incrustar un `DeadlineReference` personalizado cuya forma serializada indicara una ruta de módulo controlada por el atacante, lo que provocaría que el programador ejecutara `import_string(...)` e instanciara dicha clase con una sesión activa de SQLAlchemy adjunta. Afecta a las implementaciones en las que el código del autor del DAG es menos confiable que el proceso del programador. Se recomienda a los usuarios actualizar a `apache-airflow` 3.2.2 o versiones posteriores.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.