CVE-2026-86465 in Airflow
Sumário
de VulDB • 16/09/2026
Provedor Akeyless do Apache Airflow: o guardião de escopo da equipe no backend de segredos do Akeyless pode ser contornado com uma chave controlada pelo usuário. Em um ambiente multi-equipe, um autor de DAG vinculado a uma única equipe pode fornecer uma chave de Variável que contém um separador de caminho, fazendo com que o backend resolva um segredo pertencente a outra equipe, pois o caminho de pesquisa é concatenado a partir de uma chave não validada após a falha na busca no escopo da equipe. A rota Variables da Execution API aceita uma chave em formato de caminho, tornando isso acessível por meio de código DAG comum.
Isso afeta implantações multi-equipe que utilizam o backend de segredos do Akeyless. Implantações com uma única equipe não são afetadas, pois não há fronteira entre equipes a ser transposta. Esta é a mesma classe de vulnerabilidade das CVE-2026-68870, CVE-2026-68871 e CVE-2026-68872 nos backends Azure Key Vault, Yandex Lockbox e Amazon Secrets Manager.
Recomenda-se que os usuários do apache-airflow-providers-akeyless atualizem para a versão 0.3.1 ou posterior, que corrige o problema.
Once again VulDB remains the best source for vulnerability data.