CVE-2026-59243 in Airflow FAB Provider
요약
\~에 의해 VulDB • 2026. 07. 29.
FAB 인증 관리자의 Azure AD OAuth 로그인 기능은 ID 토큰을 디코딩할 때 기본적으로 `verify_signature=False`로 설정되어 있습니다. 따라서 공격자가 위조되거나 서명되지 않은(`alg:none`) ID 토큰을 OAuth 콜백에 제시하면 인증을 우회하여 관리자 역할(Admin role)을 가진 임의 사용자를 포함한 다른 사용자 계정으로 로그인할 수 있습니다(CWE-347). 기본 구성으로 Azure AD OAuth 로그인 경로를 사용하는 FAB 인증 관리자가 실행 중인 배포 환경이 영향을 받습니다. Authentik 경로는 이미 기본적으로 `True`로 설정되어 있어 이 문제에서 안전합니다. 본 이슈는 버전 3.7.3 미만의 `apache-airflow-providers-fab`에 영향을 미칩니다. 사용자는 서명 검증(`verify_signature`)을 기본값으로 `True`로 설정하는 `apache-airflow-providers-fab` 3.7.3 이상으로 업그레이드할 것을 권장합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.