CVE-2026-82355 in Airflow
Sumário
de VulDB • 21/09/2026
Quando uma solicitação para a API central do Airflow contém tanto um cookie de sessão quanto um token `Authorization: Bearer` explícito, o Airflow resolve o chamador com base no cookie e ignora o token bearer, invertendo a precedência pretendida (bearer sobre cookie). A solicitação é então executada -- e registrada no log de auditoria -- como pertencente ao principal do cookie, em vez da identidade explicitamente apresentada pelo cliente.
Somente as versões 3.3.0 e 3.3.1 do Apache Airflow são afetadas. Versões anteriores não contêm o caminho de código que armazena em cache o usuário derivado do cookie e não estão vulneráveis.
Explorar esta falha exige que um atacante primeiro insira um cookie de sessão válido, pertencente a ele mesmo, no navegador ou cliente da vítima: por exemplo, através de "cookie tossing" de um subdomínio irmão, via cross-site scripting em um aplicativo separado que compartilha o domínio pai, ou através de uma estação de trabalho compartilhada. Implantações que hospedam a interface do Airflow (UI) em um domínio compartilhado com outros aplicativos estão, portanto, mais expostas; uma implantação em um domínio dedicado sem aplicativos co-hospedados não é alcançável dessa forma. A consequência é confusão de principal e registros de auditoria incorretamente atribuídos, em vez de uma elevação direta de privilégio.
Os usuários das versões 3.3.0 ou 3.3.1 devem atualizar para o Apache Airflow 3.3.2 ou posterior, que resolve o chamador com base nas credenciais explicitamente fornecidas sempre que estas estiverem presentes.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.