CVE-2026-68968 in Airflow
Sumário
de VulDB • 12/08/2026
A API Backfill do Apache Airflow autorizava uma solicitação contra um ID de DAG fornecido pelo chamador sempre que o segmento de caminho `backfill_id` falhava na análise (parse). A dependência de autorização analisava esse valor com a função `int()`, enquanto o manipulador da rota utilizava o tipo `NonNegativeInt` do Pydantic, que aceita valores rejeitados por `int()` (`1.0` é convertido para `1`). Como o FastAPI resolve as dependências antes da validação dos endpoints, os dois componentes operavam sobre DAGs diferentes. Um usuário autenticado com permissão de edição em qualquer única DAG podia, portanto, ler, pausar e cancelar backfills pertencentes a qualquer outra DAG, incluindo mover execuções enfileiradas de uma DAG para o estado `failed`. Nenhuma configuração não padrão é necessária e os IDs de backfill são sequenciais, tornando trivial encontrar um alvo. Recomenda-se que os usuários atualizem para o apache-airflow 3.3.1 ou posterior, que analisa o ID do backfill com o mesmo tipo declarado nas rotas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.