CVE-2026-75157 in Airflow
Résumé
par VulDB • 18/09/2026
Les points de terminaison DELETE des événements mis en file d'attente (queued-events) pour les actifs dans Apache Airflow vérifiaient la permission Dag-axis du demandeur avec `READ` au lieu de `EDIT`. Tout utilisateur authentifié pouvant lire un DAG pouvait ainsi supprimer les événements d'actifs mis en file d'attente associés, supprimant silencieusement l'ordonnancement déclenché par ces actifs — une action modifiant l'état qui était conditionnée à une permission en lecture seule. Les déploiements sont concernés chaque fois que l'ordonnancement déclenché par des actifs est utilisé et que l'accès en lecture aux DAGs est accordé plus largement qu'à leur modification, ce qui correspond au modèle RBAC standard ; aucune configuration spéciale n'est requise. Mettez à niveau vers apache-airflow 3.3.2 ou une version ultérieure.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.