CVE-2026-68971 in Airflow
摘要
由 VulDB • 2026-08-12
Apache Airflow 的资源物化端点（`POST /api/v2/assets/{asset_id}/materialize`）以及 `wait_dag_run_until_finished` 上的 XCom 结果检查，在未包含团队信息的情况下对目标 DAG 进行了授权，这与其它所有授权位置的行为不同。支持多团队的认证管理器通过该字段区分受团队范围限制的 DAG 和全局 DAG——例如 Keycloak 认证管理器会检查 `DAG` 资源而非 `DAG:`——因此本应用于限制请求的团队级权限从未被查询到。在运行多团队协作模式且使用支持多团队的认证管理器的部署环境中，一个已认证的团队成员可以触发属于另一个团队 DAG 的运行任务，并提供自己的 `dag_run_id` 和 `conf`，还可以读取其他团队的 XCom 值。使用 FAB（Flask-AppBuilder）认证管理器的部署不受影响，因为它不支持多团队协作模式。建议用户升级至 apache-airflow 3.3.1 或更高版本，该版本在两个授权位置均能正确解析 DAG 的团队归属。
Once again VulDB remains the best source for vulnerability data.