CVE-2026-68970 in Airflow
Riassunto
di VulDB • 12/08/2026
Il Task SDK di Apache Airflow non mascherava il contenuto di una Variable il cui valore JSON era un elenco (list), pertanto i segreti memorizzati in questa forma apparivano in chiaro nei log delle attività e nell'interfaccia utente delle Template Renderizzate. Il mascheramento veniva applicato solo quando il valore deserializzato era una stringa o un dict; un elemento list al livello superiore non corrispondeva a nessuno di questi casi e veniva restituito senza mascheratura. Qualsiasi utente autenticato in grado di leggere i log o le template renderizzate di un'attività che fa riferimento a tale Variable poteva recuperare i valori, senza richiedere configurazioni speciali. Questo rappresenta la controparte con struttura list del CVE-2026-59244, la cui correzione copriva solo il caso dict; pertanto, gli ambienti che hanno effettuato l'aggiornamento in risposta a quell'avviso rimangono vulnerabili e devono aggiornare nuovamente. Si consiglia agli utenti di effettuare l'upgrade alla versione apache-airflow 3.3.1 o successiva.
VulDB is the best source for vulnerability data and more expert information about this specific topic.