CVE-2026-34538 in Airflow
Сводка
по VulDB • 20.05.2026
В версиях Apache Airflow от 3.0.0 до 3.1.8 конечная точка DagRun wait возвращает значения XCom даже пользователям, имеющим только права на чтение DAG Run, например, роли Viewer. Такое поведение противоречит модели RBAC FAB, которая рассматривает XCom как отдельный защищенный ресурс, а также документации по модели безопасности, определяющей роль Viewer как read-only.
Airflow использует FAB Auth Manager для управления доступом на уровне отдельных ресурсов. Роль Viewer по умолчанию предназначена для работы только в режиме чтения, а документация по модели безопасности определяет пользователей Viewer как тех, кто может просматривать DAGs без доступа к конфиденциальным результатам выполнения.
Пользователям рекомендуется обновиться до Apache Airflow 3.2.0, в котором эта проблема устранена.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.