CVE-2025-57735
KrytyczneStreszczenie
Podatność dotyczy braku unieważnienia tokena JWT po wylogowaniu użytkownika, co może prowadzić do jego ponownego użycia w przypadku przechwycenia. W wersji Airflow 3.2 wprowadzono mechanizm unieważniania tokenów przy wylogowaniu.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu, jeśli token JWT zostanie przechwycony przed unieważnieniem. Może to prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji Airflow 3.2.0 lub nowszej, aby naprawić tę podatność i zwiększyć bezpieczeństwo systemu.
Oryginalny opis (angielski, źródło NVD)
When user logged out, the JWT token the user had authtenticated with was not invalidated, which could lead to reuse of that token in case it was intercepted. In Airflow 3.2 we implemented the mechanism that implements token invalidation at logout. Users who are concerned about the logout scenario and possibility of intercepting the tokens, should upgrade to Airflow 3.2+ Users are recommended to upgrade to version 3.2.0, which fixes this issue.