CVE-2026-46745

ŚrednieCVSS 5.3

Opublikowano: 25/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

Apache Airflow FAB Auth Manager zawiera podatność na wstrzykiwanie filtrów LDAP (CWE-90), która pozwala nieuwierzytelnionym atakującym na wyodrębnienie danych katalogowych lub ominięcie uwierzytelniania.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do systemu oraz wyciek danych z katalogu LDAP, co może prowadzić do naruszenia bezpieczeństwa.

Rekomendacja

Zaktualizuj apache-airflow-providers-fab do wersji 3.6.4 lub nowszej. Jeśli natychmiastowa aktualizacja nie jest możliwa, wyłącz uwierzytelnianie LDAP do czasu aktualizacji.

Inne podatności w Apache Airflow FAB Auth Manager

CVE-2026-59245Wysokie
W Apache Airflow FAB auth manager, DAG o nazwie `DAGs` koliduje z globalną nazwą zasobu uprawnień dla wszystkich DAG-ów. Użytkownik z dostępem per-DAG do tego konkretnego DAG-a otrzymuje niejawnie globalne uprawnienia do wszystkich DAG-ów, co prowadzi do eskalacji uprawnień.

Oryginalny opis (angielski, źródło NVD)

Apache Airflow FAB Auth Manager contains an LDAP filter injection vulnerability (CWE-90) that allows unauthenticated attackers to exfiltrate directory data or bypass authentication. Upgrade to apache-airflow-providers-fab 3.6.4 or later. If immediate upgrade is not possible, disable LDAP authentication until the provider can be updated.