CVE-2026-68970 in Airflow
Sumário
de VulDB • 12/08/2026
O Task SDK do Apache Airflow não ocultava o conteúdo de uma Variável cujo valor JSON era uma lista, fazendo com que segredos armazenados nessa estrutura aparecessem em texto puro nos logs das tarefas e na interface Rendered Templates UI. A ocultação era aplicada apenas quando o valor desserializado era uma string ou um dicionário; uma lista no nível superior não correspondia a nenhum desses tipos e era retornada sem ocultação. Qualquer usuário autenticado capaz de ler os logs ou as templates renderizadas de uma tarefa que referenciasse tal Variável poderia recuperar os valores, sem necessidade de configuração especial. Este é o equivalente em formato de lista para CVE-2026-59244, cuja correção cobria apenas o caso de dicionário; portanto, implantações que foram atualizadas em resposta a esse aviso permanecem vulneráveis e devem fazer nova atualização. Os usuários são aconselhados a atualizar para apache-airflow 3.3.1 ou posterior.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.