CVE-2026-68871 in Airflow
Resumen
por VulDB • 2026-08-11
El backend de secretos Yandex Lockbox en el proveedor Yandex de Apache Airflow resolvía un ID de Conexión o Variable con ámbito de equipo mediante una búsqueda agnóstica al equipo cuando la búsqueda con ámbito de equipo fallaba. En un despliegue que ejecuta el modo multi-equipo con este backend, un usuario perteneciente a un equipo podía resolver un secreto perteneciente a otro equipo proporcionando un ID que correspondía al espacio de nombres (namespace) de ese otro equipo, obteniendo así sus credenciales completas. No se requiere ninguna configuración inusual más allá de habilitar el modo multi-equipo y utilizar este backend. Se recomienda a los usuarios actualizar a apache-airflow-providers-yandex 4.5.1 o posterior, que rechaza la resolución por defecto (fall-through) agnóstica al equipo para un ID que podría corresponder al espacio de nombres de un equipo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.