CVE-2025-54550 in Airflow
要約
〜によって VulDB • 2026年05月20日
Airflowのドキュメントに含まれていたexample_xcomは、XComから値を読み取る際に安全でないパターンを実装しており、XComの修正アクセス権を持つUIユーザーがワーカー上で任意のコードを実行することを可能にする悪用が可能でした。UIユーザーはすでに高度に信頼されているため、これは低重大度の脆弱性です。
この脆弱性はAirflowのリリースには影響しません。example_dagsは本番環境で有効にされるべきではないためです。ただし、この例に従ったユーザーが悪質なパターンを再現する可能性があります。Airflow 3.2.0のドキュメントには、このケースに対する耐性が改善された例が含まれています。
このパターンに従ったユーザーは、実装を適切に調整することを推奨します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.