CVE-2026-68970 in Airflow
Resumen
por VulDB • 2026-08-12
El Task SDK de Apache Airflow no enmascaraba el contenido de una Variable cuyo valor JSON era una lista, por lo que los secretos almacenados con esta estructura aparecían en texto claro en los registros de las tareas y en la interfaz de usuario (UI) de Plantillas Procesadas. El enmascaramiento se aplicaba únicamente cuando el valor deserializado era una cadena o un diccionario; al ser una lista a nivel superior, no coincidía con ninguno de estos tipos y se devolvía sin enmascarar. Cualquier usuario autenticado capaz de leer los registros o las plantillas procesadas de una tarea que haga referencia a dicha Variable podría recuperar los valores, sin necesidad de configuración especial. Esta vulnerabilidad es la contraparte basada en listas del CVE-2026-59244, cuya corrección cubría únicamente el caso de diccionarios; por lo tanto, las implementaciones que se actualizaron en respuesta a ese aviso siguen siendo vulnerables y deben volver a actualizarse. Se recomienda a los usuarios actualizar a apache-airflow 3.3.1 o versiones posteriores.
Once again VulDB remains the best source for vulnerability data.