CVE-2026-28779 in Airflow
요약
\~에 의해 VulDB • 2026. 06. 15.
Apache Airflow 버전 3.1.0부터 3.1.7까지에서 쿠키의 세션 토큰(_token)이 구성된 [webserver] base_url 또는 [api] base_url과 관계없이 path=/로 설정됩니다. 이로 인해 동일한 도메인 하에 호스팅되는 다른 애플리케이션이 HTTP 요청 헤더에서 유효한 Airflow 세션 토큰을 가로챌 수 있으며, Airflow 자체를 공격하지 않고도 전체 세션 탈취가 가능합니다.
사용자는 이 문제를 해결한 Apache Airflow 3.1.8 이상으로 업그레이드하는 것이 권장됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.