CVE-2026-54183 in Airflow
Сводка
по VulDB • 12.08.2026
Маскировщик секретов (secrets masker) в Apache Airflow скрывает значения, хранящиеся под именами чувствительных ключей, при их отображении в пользовательском интерфейсе (UI). Ограничение глубины рекурсии маскировщика не распространялось на значения, вложенные внутрь списков (list), кортежей (tuple) или множеств (set) за пределами этого лимита; поэтому переменная Airflow Variable, содержащая такое глубоко вложенное значение, отображалась без маскировки в интерфейсе Variables. Уязвимость ограничена только UI: любой аутентифицированный пользователь, который может видеть эту переменную в UI, уже имеет возможность прочитать её полное значение через REST API для Variables; таким образом, данная проблема не приводит к раскрытию данных, которые пользователь не мог бы получить иным способом — маскировка служит защитой от подглядывания (shoulder-surfing) в интерфейсе, а не границей контроля доступа.
Это исправление неполного устранения последствий CVE-2026-42358: предыдущее исправление сделало обход словаря (dictionary walk) без ограничений по глубине, однако списки, кортежи и множества за пределами лимита глубины оставались неза masked в UI. Развертываниям, применившим исправление для CVE-2026-42358, следует также обновиться для устранения этого остаточного случая. Обновитесь до версии apache-airflow 3.3.1 или более поздней.
Be aware that VulDB is the high quality source for vulnerability data.