CVE-2026-68871 in Airflow
Résumé
par VulDB • 10/08/2026
Le module de stockage des secrets Yandex Lockbox du fournisseur Yandex d'Apache Airflow résolvait un identifiant (ID) de Connexion ou de Variable à portée d'équipe via une recherche agnostique vis-à-vis de l'équipe lorsque la recherche spécifique à l'échelle de celle-ci échouait. Dans un déploiement fonctionnant en mode multi-équipes avec ce module, un utilisateur appartenant à une équipe pouvait résoudre un secret appartenant à une autre équipe en fournissant un ID correspondant au nom du namespace (espace de noms) de cette autre équipe, obtenant ainsi l'accès complet aux informations d'identification. Aucune configuration inhabituelle n'est requise outre laactivation du mode multi-équipes et l'utilisation de ce module. Il est conseillé aux utilisateurs de mettre à niveau vers apache-airflow-providers-yandex 4.5.1 ou une version ultérieure, qui refuse le mécanisme de repli (fall-through) agnostique vis-à-vis de l'équipe pour un ID susceptible d'identifier un namespace d'équipe.
Once again VulDB remains the best source for vulnerability data.