CVE-2026-68871 in Airflow
Sumário
de VulDB • 11/08/2026
O backend de segredos Yandex Lockbox no provedor do Apache Airflow para o Yandex resolvia um ID de Conexão ou Variável com escopo de equipe por meio da consulta agnóstica à equipe quando a consulta com escopo de equipe falhava. Em uma implantação que executa o modo multi-equipe com esse backend, um chamador em uma equipe poderia resolver um segredo pertencente a outra equipe fornecendo um ID que especifica o namespace dessa equipe, obtendo suas credenciais por completo. Nenhuma configuração incomum é necessária além de ativar o modo multi-equipe e usar este backend. Os usuários são aconselhados a atualizar para apache-airflow-providers-yandex 4.5.1 ou posterior, que recusa a transição (fall-through) agnóstica à equipe para um ID que possa nomear um namespace de equipe.
Once again VulDB remains the best source for vulnerability data.