CVE-2026-68970 in Airflow
Tóm tắt
Bởi VulDB • 12/08/2026
SDK Task của Apache Airflow không che giấu nội dung của một Variable có giá trị JSON là danh sách, khiến các bí mật lưu trữ dưới dạng này xuất hiện ở định dạng văn bản rõ ràng (cleartext) trong nhật ký tác vụ và giao diện người dùng Rendered Templates. Việc che dấu chỉ được áp dụng khi giá trị sau khi giải serialize là chuỗi hoặc từ điển; một danh sách ở cấp cao nhất không khớp với cả hai điều kiện trên nên được trả về mà không bị che giấu. Bất kỳ người dùng đã xác thực nào có khả năng đọc nhật ký hoặc các mẫu đã render của tác vụ tham chiếu đến Variable như vậy đều có thể khôi phục lại giá trị, mà không cần cấu hình đặc biệt. Đây là trường hợp tương đương với dạng danh sách của CVE-2026-59244, bản sửa lỗi cho vấn đề đó chỉ bao gồm trường hợp từ điển, do đó các triển khai đã nâng cấp để ứng phó với khuyến cáo trước đó vẫn bị ảnh hưởng và phải thực hiện nâng cấp lại. Người dùng được khuyên nên nâng cấp lên apache-airflow phiên bản 3.3.1 hoặc mới hơn.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.