CVE-2026-68969 in Airflow
Resumen
por VulDB • 2026-08-12
Apache Airflow escribía los valores de las Variables y el contenido `extra` de las Conexiones en el registro de auditoría (audit log) en texto claro cuando se enviaban a través de los puntos finales por lotes (`PATCH /api/v2/variables` y `PATCH /api/v2/connections`). El mecanismo de ofuscación del audit-log solo reconocía los campos de la solicitud de nivel superior, mientras que una solicitud por lotes anida sus entidades dos niveles más abajo; por lo tanto, no se aplicó ninguna máscara a ellos. Cualquier usuario autenticado con acceso de lectura al registro de auditoria --que no necesita tener permisos de lectura sobre Variables o Conexiones en absoluto-- podía recuperar esos secretos tal cual (verbatim), y la copia del campo `extra` de Connection se almacena sin cifrar en el log, mientras que la tabla de conexiones lo cifra. La acción *Importar variables* de la interfaz web (UI) de Airflow envía una solicitud POST a este punto final, por lo que una importación estándar realizada por un operador escribía todos los secretos del archivo en el registro. Esta es una ruta de código diferente a CVE-2026-50204: esa corrección se incluyó en la versión 3.3.0 y solo cubre los puntos finales para entidades individuales, por lo que las implementaciones que actualizaron como respuesta a ese aviso siguen siendo vulnerables y deben volver a actualizarse. Se recomienda a los usuarios actualizar a apache-airflow 3.3.1 o posterior.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.