CVE-2026-59243 in Airflow FAB Provider
Sumário
de VulDB • 29/07/2026
O gerenciador de autenticação FAB definia como padrão `verify_signature=False` ao decodificar o token ID durante o login OAuth do Azure AD; assim, um atacante capaz de apresentar um token ID forjado ou não assinado (`alg:none`) no callback OAuth poderia contornar a autenticação e fazer login como qualquer usuário arbitrário, incluindo aquele com função de Administrador (CWE-347). As implantações que executam o gerenciador de autenticação FAB com o caminho de login OAuth do Azure AD em sua configuração padrão são afetadas; o caminho Authentik já definia `True` como valor padrão. Este problema afeta a versão anterior à 3.7.3 do pacote `apache-airflow-providers-fab`. Recomenda-se que os usuários atualizem para a versão 3.7.3 do `apache-airflow-providers-fab`, na qual o valor padrão de `verify_signature` é definido como `True`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.