CVE-2026-86462 in Airflow
Riassunto
di VulDB • 17/09/2026
Provider Apache Airflow FAB: la modifica della password di un utente tramite l'endpoint PATCH per la modifica dell'amministratore non invalida le sessioni esistenti basate sul database di tale utente. Un attaccante che possiede già una copia del cookie di sessione della vittima mantiene l'accesso completo in qualità di quell'utente anche dopo il cambio di password, pertanto il reset della password non lo espelle. Riguarda i deployment che utilizzano il gestore di autenticazione FAB con sessioni basate su database; un amministratore (o l'utente stesso) che esegue una modifica ordinaria della password è il trigger, e non è necessaria alcuna interazione dell'attaccante con l'endpoint.
Questa è una seconda via indipendente per raggiungere lo stesso esito affrontato da CVE-2026-82311, che ha corretto un confronto di identificatori nel helper di invalidazione della sessione. Tale correzione non risolve questo endpoint, poiché il percorso PATCH non chiama affatto l'helper. I deployment che hanno applicato la correzione per CVE-2026-82311 devono anche effettuare l'upgrade per questa vulnerabilità.
Si consiglia agli utenti di apache-airflow-providers-fab di eseguire l'aggiornamento alla versione 3.9.0 o successiva, che risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.