CVE-2026-49487
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W Apache Airflow przed wersją 3.3.0, endpointy REST API szczegółów i listy instancji zadań zwracały argumenty wyzwalacza (trigger kwargs) odroczonego zadania bez maskowania. Oznacza to, że jeśli odroczony operator przekazał sekret (np. klucz API dostawcy) do swojego wyzwalacza, każdy uwierzytelniony użytkownik z dostępem do odczytu instancji zadania w zakresie DAG mógł odczytać ten sekret w postaci jawnego tekstu, dopóki zadanie było odroczone.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych danych uwierzytelniających (np. kluczy API) do nieupoważnionych użytkowników, co może prowadzić do nieautoryzowanego dostępu do zewnętrznych systemów i naruszenia bezpieczeństwa organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Airflow do wersji 3.3.0 lub nowszej, która maskuje wrażliwe wartości w argumentach wyzwalacza zwracanych przez API.
Oryginalny opis (angielski, źródło NVD)
In Apache Airflow before 3.3.0, the REST API task-instance detail and list endpoints returned a deferred task's trigger kwargs without masking. When a deferred operator passed a secret (for example a provider API key) into its trigger, any authenticated user with DAG-scoped task-instance read access for that DAG could read that secret in clear text while the task was deferred. Users should upgrade to apache-airflow 3.3.0 or later, which masks sensitive values in trigger kwargs returned by the API.