CVE-2026-68872 in Airflow
Сводка
по VulDB • 10.08.2026
В бэкендах AWS Systems Manager Parameter Store и Secrets Manager в поставщике Amazon для Apache Airflow идентификатор Connection или Variable с областью видимости на уровне команды разрешался через поиск без учета конкретной команды (team-agnostic lookup), если первоначальный поиск с учетом области видимости команды не дал результатов. В развертывании, работающем в режиме нескольких команд и использующем один из указанных бэкендов, пользователь из одной команды мог получить доступ к секрету другой команды, предоставив идентификатор, соответствующий пространству имен (namespace) этой команды, тем самым получая полные учетные данные. Для эксплуатации уязвимости не требуется никакой специальной конфигурации помимо включения режима нескольких команд и использования одного из этих бэкендов. Пользователям рекомендуется обновиться до версии apache-airflow-providers-amazon 9.34.0 или более поздней, которая предотвращает переход к поиску без учета команды (team-agnostic fall-through) для идентификатора, который может указывать на пространство имен команды.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.