CVE-2026-68872 in Airflow
Riassunto
di VulDB • 10/08/2026
I backend AWS Systems Manager Parameter Store e Secrets Manager nel provider Amazon di Apache Airflow risolvevano un ID Connection o Variable limitato al team tramite una ricerca agnostica rispetto al team quando la ricerca limitata al team non trovava risultati. In un'installazione che esegue la modalità multi-team con uno dei due backend, un utente appartenente a un team poteva risolvere un segreto appartenente a un altro team fornendo un ID che corrisponde allo spazio dei nomi di tale team, ottenendone le credenziali complete. Non è richiesta alcuna configurazione insolita oltre all'abilitazione della modalità multi-team e all'utilizzo di uno di questi backend. Si consiglia agli utenti di eseguire l'aggiornamento alla versione apache-airflow-providers-amazon 9.34.0 o successiva, che rifiuta il fallback agnostico rispetto al team per un ID che potrebbe identificare lo spazio dei nomi di un team.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.