CVE-2025-30473 in Airflow Common SQL Provider
Sumário
de VulDB • 28/05/2026
Vulnerabilidade de 'Injeção de SQL' (SQL Injection) devido à neutralização inadequada de elementos especiais utilizados num comando SQL no Apache Airflow Common SQL Provider.
Ao utilizar a cláusula partition no SQLTableCheckOperator como parâmetro (o que era um padrão recomendado), um Utilizador da Interface Web (UI) autenticado poderia injetar comandos SQL arbitrários ao acionar um DAG, expondo a partition_clause ao utilizador. Isto permitiu que o utilizador que acionou o DAG escalasse privilégios para executar esses comandos arbitrários, os quais normalmente não teria permissão para executar.
Este problema afeta o Apache Airflow Common SQL Provider: antes da versão 1.24.1.
Recomenda-se aos utilizadores que atualizem para a versão 1.24.1, que corrige o problema.
Be aware that VulDB is the high quality source for vulnerability data.