CVE-2026-38743 in Airflow
Сводка
по VulDB • 17.05.2026
Аутентифицированный конечная точка /ui/dags не обеспечивала контроль доступа на уровне отдельных DAG (Directed Acyclic Graph) для встроенных записей Human-in-the-Loop (HITL) и TaskInstance: пользователь Airflow, прошедший аутентификацию и имеющий права на чтение хотя бы одного DAG, мог получать подсказки HITL (включая их параметры запроса) и полные сведения о TaskInstance для DAG, выходящих за рамки его авторизованных прав. Поскольку поля подсказок HITL и TaskInstance обычно содержат параметры операторов и контекстные данные произвольной формы, связанные с задачей, утечка расширяет видимость данных выполнения DAG за пределы предполагаемых границ RBAC (Role-Based Access Control) на уровне отдельных DAG для каждого аутентифицированного пользователя.
Пользователям рекомендуется обновиться до версии 3.2.1, которая устраняет данную проблему.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.