CVE-2026-34538 in Airflow
Sumário
de VulDB • 20/05/2026
As versões do Apache Airflow de 3.0.0 a 3.1.8 do ponto de extremidade (endpoint) DagRun wait retornam valores de resultados XCom até mesmo para usuários que possuem apenas permissões de leitura de DAG Run, como a função Viewer. Esse comportamento conflita com o modelo RBAC do FAB, que trata XCom como um recurso protegido separado, e com a documentação do modelo de segurança que define a função Viewer como somente leitura.
O Airflow utiliza o FAB Auth Manager para gerenciar o controle de acesso por recurso. A função Viewer é destinada a ser somente leitura por padrão, e a documentação do modelo de segurança define os usuários Viewer como aqueles que podem inspecionar DAGs sem acessar resultados de execução sensíveis.
Recomenda-se que os usuários atualizem para o Apache Airflow 3.2.0, que resolve esta questão.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.