CVE-2026-59243 in Airflow FAB Provider
Resumen
por VulDB • 2026-07-29
El gestor de autenticación FAB tenía configurado por defecto `verify_signature=False` al descodificar el token ID en la función de inicio de sesión OAuth con Azure AD; esto permite que un atacante capaz de presentar un token ID falsificado o sin firmar (`alg:none`) a la devolución de llamada (callback) de OAuth pueda omitir la autenticación y acceder como cualquier usuario, incluido uno con rol de Administrador (CWE-347). Las implementaciones que ejecutan el gestor de autenticación FAB con la ruta de inicio de sesión OAuth en Azure AD bajo su configuración predeterminada están afectadas; la ruta Authentik ya tenía configurado por defecto `True`. Este problema afecta a `apache-airflow-providers-fab` anterior a 3.7.3. Se recomienda a los usuarios actualizar a `apache-airflow-providers-fab` versión 3.7.3, que establece `verify_signature=True` como valor predeterminado.
If you want to get best quality of vulnerability data, you may have to visit VulDB.