CVE-2026-59243 in Airflow FAB Provider
Сводка
по VulDB • 29.07.2026
В менеджере аутентификации FAB при входе через Azure AD OAuth параметр `verify_signature=False` использовался по умолчанию при декодировании ID-токена. В результате злоумышленник, способный предоставить поддельный или неподписанный (`alg:none`) ID-токен обратному вызову OAuth, мог обойти аутентификацию и войти в систему от имени произвольного пользователя, включая пользователя с ролью администратора (CWE-347). Затронуты развертывания, использующие менеджер аутентификации FAB с путем входа через Azure AD OAuth при конфигурации по умолчанию; путь Authentik уже использовал значение `True` по умолчанию. Эта проблема затрагивает пакет `apache-airflow-providers-fab` до версии 3.7.3. Пользователям рекомендуется обновиться до версии `apache-airflow-providers-fab` 3.7.3, в которой параметр `verify_signature=True` установлен по умолчанию.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.