CVE-2026-48891
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Apache Airflow w punkcie końcowym `/ui/dependencies` harmonogramu wykryto błąd, który ujawnia identyfikatory Dagów (Dag IDs) przez pola `dep.source` i `dep.target` w zależnościach wyzwalaczy i sensorów. Uwierzytelniony użytkownik interfejsu z uprawnieniami do odczytu niektórych Dagów może wyliczyć identyfikatory innych Dagów, do których nie ma dostępu. Jest to pozostałość po poprawce CVE-2026-28563, która filtrowała tylko klucz najwyższego poziomu, ale nie objęła pól źródła i celu zależności.
Ocena ryzyka
Organizacje polegające na per-Dagowym zakresie odczytu w celu zachowania prywatności identyfikatorów Dagów między zespołami są narażone na wyciek tych identyfikatorów. Umożliwia to nieautoryzowane rozpoznanie struktury i zależności przepływów pracy, co może prowadzić do dalszych ataków.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Airflow do wersji 3.3.0 lub nowszej, która zawiera pełną poprawkę eliminującą wyciek identyfikatorów Dagów przez zależności wyzwalaczy i sensorów. Dotyczy to również użytkowników, którzy już zastosowali poprawkę dla CVE-2026-28563.
Oryginalny opis (angielski, źródło NVD)
A bug in Apache Airflow's `/ui/dependencies` scheduling graph endpoint applied the caller's readable-Dag filter to the top-level serialized Dag key but still emitted referenced Dag IDs through the `dep.source` and `dep.target` fields of trigger / sensor dependency entries. An authenticated UI user with read permission on some Dags could enumerate the identifiers of other Dags they were not authorized to read by inspecting the dependency graph for trigger / sensor references. Affects deployments that rely on per-Dag read scoping to keep Dag identifiers private across teams. This is a residual gap in the fix for CVE-2026-28563, which filtered the top-level Dag key but did not propagate the filter into the trigger / sensor dep-source / dep-target fields. Users who already upgraded for CVE-2026-28563 should additionally upgrade to `apache-airflow` 3.3.0 or later to cover the residual trigger / sensor dependency leak.