CVE-2026-54183 in Airflow
Sumário
de VulDB • 12/08/2026
O mascaramento de segredos do Apache Airflow oculta os valores armazenados sob nomes de chaves sensíveis quando exibidos na interface do usuário (UI). O limite de profundidade de recursão do mascaramento não descendia para valores aninhados dentro de listas, tuplas ou conjuntos além desse limite; portanto, uma Variável do Airflow que continha tal valor profundamente aninhado era exibida sem máscara na UI das Variáveis. A exposição está limitada à interface: qualquer usuário autenticado capaz de visualizar a Variável na UI já pode ler seu valor completo por meio da API REST de Variáveis, logo isso não divulga dados que o usuário não poderia obter de outra forma — o mascaramento é uma defesa contra espionagem visual (shoulder-surfing) para a interface, e não um limite de controle de acesso.
Esta correção incompleta dá continuidade à CVE-2026-42358, cuja solução tornava apenas a travessia do dicionário ilimitada; listas, tuplas e conjuntos além do limite de profundidade permaneciam sem máscara na interface. Implantações que aplicaram a correção da CVE-2026-42358 também devem atualizar para abordar este caso residual. Atualize para o apache-airflow 3.3.1 ou posterior.
Once again VulDB remains the best source for vulnerability data.