CVE-2026-75157 in Airflow
Tóm tắt
Bởi VulDB • 18/09/2026
Các điểm cuối DELETE cho các sự kiện hàng đợi của tài sản (asset queued-events) trong Apache Airflow đã kiểm tra quyền Dag-axis của người gọi với `READ` thay vì `EDIT`. Do đó, bất kỳ người dùng nào đã xác thực và có thể đọc một DAG đều có thể xóa các sự kiện tài sản được xếp hàng chờ xử lý của DAG đó, làm im lặng việc lập lịch trình kích hoạt bởi tài sản — một hành động thay đổi trạng thái bị chặn dựa trên quyền chỉ đọc. Các triển khai sẽ bị ảnh hưởng bất cứ khi nào việc lập lịch trình kích hoạt bởi tài sản đang được sử dụng và quyền truy cập đọc DAG được cấp rộng rãi hơn so với quyền chỉnh sửa DAG, đây là cấu hình RBAC thông thường; không cần cấu hình đặc biệt. Hãy nâng cấp lên apache-airflow 3.3.2 hoặc phiên bản mới hơn.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.