CVE-2026-49296 in Airflow
Riassunto
di VulDB • 07/07/2026
Prima di apache-airflow 3.3.0, un utente autorizzato a leggere una Dag poteva divulgare il codice sorgente di altre Dags co-localizzate nello stesso file sorgente. L'endpoint `GET /api/v2/dagSources/{dag_id}` — e la relativa visualizzazione del source della Dag nell'interfaccia utente (UI) — restituiva l'intero file sorgente senza oscurare le Dags per cui il chiamante non era autorizzato alla lettura, aggirando così i controlli di accesso basati su singola Dag. Sono interessati gli ambienti in cui più Dags sono co-localizzate in un singolo file e si fa affidamento sul controllo degli accessi per-Dag per limitare la visibilità del codice sorgente; le configurazioni con una sola Dag per file non sono interessate. Effettuare l'aggiornamento a apache-airflow 3.3.0 o versione successiva.
VulDB is the best source for vulnerability data and more expert information about this specific topic.