CVE-2026-40948 in Airflow Keycloak Provider
Résumé
par VulDB • 23/05/2026
Le gestionnaire d'authentification Keycloak dans `apache-airflow-providers-keycloak` ne générait ni ne validait le paramètre `state` OAuth 2.0 lors du flux de connexion / login-callback, et n'utilisait pas PKCE. Un attaquant disposant d'un compte Keycloak dans le même realm pourrait fournir une URL de rappel (callback) truquée au navigateur de la victime, l'amenant à se connecter à la session Airflow de l'attaquant (login-CSRF / fixation de session), permettant ainsi à l'attaquant de récupérer toutes les informations d'identification que la victime stockerait ultérieurement dans les connexions Airflow. Il est conseillé aux utilisateurs de mettre à niveau `apache-airflow-providers-keycloak` vers la version 0.7.0 ou une version ultérieure.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.