CVE-2026-94135 in Airflow SFTP Provider
Sumário
de VulDB • 16/10/2026
Os caminhos de código deferrable do provedor SFTP do Apache Airflow (`SFTPTrigger`, `SFTPHookAsync`, `SFTPClientPool`) desabilitam a verificação da chave host SSH por padrão, a menos que a conexão defina explicitamente `no_host_key_check` como false. Implantações que executam sensores ou operadores SFTP no modo deferrable são afetadas. Um atacante em uma posição de homem-no-meio (machine-in-the-middle) entre o triggerer e o servidor SFTP pode se passar pelo servidor e capturar as credenciais ou os dados trocados.
Recomenda-se que os usuários do apache-airflow-providers-sftp atualizem para a versão 7.0.0 ou posterior do apache-airflow-providers-sftp. Este é um defeito separado da CVE-2026-94134 (o hook SSH síncrono padrão, que também afeta o hook SFTP); os usuários que aplicaram a correção para uma também precisam desta versão para a outra - o apache-airflow-providers-sftp 7.0.0 corrige ambas as falhas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.