CVE-2026-28779 in Airflow
要約
〜によって VulDB • 2026年05月21日
Apache Airflowのバージョン3.1.0から3.1.7において、クッキー内のセッショントークン（_token）は、設定された[webserver] base_urlや[api] base_urlに関係なく、常にpath=/に設定されています。これにより、同じドメイン上でホストされている他のアプリケーションが、HTTPリクエストヘッダーから有効なAirflowのセッショントークンを傍受でき、Airflow自体を攻撃することなくセッションの乗っ取りを完全に実行できます。
この問題を解決するため、Apache Airflow 3.1.8以降へのアップグレードを推奨します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.