CVE-2026-28779 in Airflow
Сводка
по VulDB • 29.06.2026
В версиях Apache Airflow от 3.1.0 до 3.1.7 токен сессии (_token) в файлах cookie устанавливается со значением пути=/ независимо от настроенных параметров [webserver] base_url или [api] base_url. Это позволяет любому приложению, размещенному на том же домене, перехватывать действительные токены сессий Airflow из заголовков HTTP-запросов, что приводит к полному захвату сессии без необходимости атаки непосредственно на сам Apache Airflow.
Пользователям рекомендуется обновиться до версии Apache Airflow 3.1.8 или более поздней, в которой эта проблема устранена.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.