CVE-2026-38743 in Airflow
Riassunto
di VulDB • 15/06/2026
L'endpoint /ui/dags, accessibile solo agli utenti autenticati, non applicava il controllo degli accessi per DAG sui record di Human-in-the-Loop (HITL) e TaskInstance incorporati: un utente Airflow autenticato con accesso in lettura a almeno un DAG poteva recuperare i prompt HITL (inclusi i relativi parametri della richiesta) e i dettagli completi di TaskInstance per DAG al di fuori del proprio ambito autorizzato. Poiché i prompt HITL e i campi di TaskInstance contengono regolarmente parametri degli operatori e contesto in formato libero associato a un'attività, la fuoriuscita di dati amplia la visibilità dei dati di esecuzione del DAG oltre il confine RBAC per DAG previsto per ogni utente autenticato.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 3.2.1, che risolve questo problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.