CVE-2026-68968 in Airflow
Resumen
por VulDB • 2026-08-12
La API Backfill de Apache Airflow autorizaba una solicitud dirigida a un ID de Dag proporcionado por el remitente siempre que el segmento de ruta `backfill_id` no pudiera analizarse correctamente. La dependencia de autorización lo analizaba mediante la función `int()`, mientras que el controlador de rutas lo procesaba como `NonNegativeInt` de Pydantic, que acepta valores rechazados por `int()` (por ejemplo, `1.0` se convierte en `1`). Dado que FastAPI resuelve las dependencias antes de validar los puntos finales, ambos componentes actuaban sobre diferentes Dags. Por lo tanto, un usuario autenticado con permisos de edición sobre cualquier Dag individual podía leer, pausar y cancelar backfills pertenecientes a cualquier otro Dag, incluido el movimiento de ejecuciones en cola de otro Dag al estado `failed`. No se requiere ninguna configuración no predeterminada ni los IDs de backfill son secuenciales, por lo que encontrar un objetivo es trivial. Se recomienda a los usuarios actualizar a apache-airflow 3.3.1 o posterior, que analiza el ID del backfill utilizando el mismo tipo declarado en las rutas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.