CVE-2026-75156
KrytyczneCVSS 9.1Streszczenie
Dostawca Apache Airflow FAB w wersjach od 3.7.3 do 3.8.0 nie weryfikuje wystawcy ani odbiorcy tokenów `id_token` Azure AD podczas logowania OAuth. Wdrożenia są zagrożone tylko wtedy, gdy menedżer uwierzytelniania FAB jest skonfigurowany z Azure AD jako dostawcą OAuth. Ponieważ klucze podpisujące są pobierane z wielodostępowego punktu końcowego JWKS Microsoftu, token `id_token` wybity w dowolnej dzierżawie Azure — w tym takiej, którą atakujący sam utworzy — przechodzi weryfikację podpisu, a nazwa użytkownika i przypisane role są następnie odczytywane z tego tokena kontrolowanego przez atakującego. Każdy, kto może zarejestrować dzierżawę Azure, może więc uwierzytelnić się w interfejsie Airflow bez wcześniejszego dostępu do wdrożenia.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do interfejsu Airflow, co może prowadzić do przejęcia kontroli nad przepływami pracy, modyfikacji danych i potencjalnego uruchomienia złośliwego kodu w środowisku Airflow.
Rekomendacja
Należy natychmiast zaktualizować apache-airflow-providers-fab do wersji 3.8.1 lub nowszej. Nawet jeśli wcześniej zastosowano poprawkę CVE-2026-59243, wymagana jest ponowna aktualizacja, ponieważ ta wersja nadal jest podatna.
Powiązane podatności
- CVE-2026-53581Krytyczne
OPNsense to platforma zapory sieciowej oparta na FreeBSD. Przed wersją 26.1.9 opnsense/core i 26.4_20 BE/opnsense/core, podatność na przechodzenie po ścieżce w module konfiguracji NTP pozwala atakującemu nadpisać dowolne pliki w systemie jako użytkownik root. Manipulując parametrem portu szeregowego GPS lub PPS, atakujący z dostępem do konfiguracji NTP może wyjść poza zamierzony katalog i zapisać dane w dowolnym pliku.
- CVE-2026-85982Krytyczne
Łącznik Auth0 AD/LDAP jest podatny na trwały Cross-Site Scripting (XSS) z powodu nieprawidłowego kodowania HTML danych w wynikach wyszukiwania i treści dzienników aktualizacji wyświetlanych w panelu administracyjnym. Uwierzytelniony użytkownik z uprawnieniami do modyfikacji atrybutów katalogu lub lokalny użytkownik o niskich uprawnieniach na hoście może wstrzyknąć skrypt, który wykona się w przeglądarce administratora.
- CVE-2026-84869Krytyczne
Warunek w kliencie ScreenConnect może umożliwić przesyłanie i wykonywanie plików przez aktywną sesję zdalną bez autoryzacji lub potwierdzenia hosta w określonych okolicznościach. Serwery ScreenConnect nie są dotknięte.
- CVE-2026-84197Krytyczne
W kliencie JavaScript Eclipse Ditto dla Node.js, we wszystkich wydanych wersjach @eclipse-ditto/ditto-javascript-client-node od 2.0.0 do 3.9.0 oraz poprzednika @eclipse-ditto/ditto-javascript-client-node_1.0 od 1.0.0 do 2.1.0, transport WebSocket ma na sztywno ustawione rejectUnauthorized: false podczas tworzenia połączenia ws. Walidacja łańcucha certyfikatów i nazwy hosta jest wyłączona dla każdego połączenia wss://, a brak opcji w builderze, konstruktorze lub zmiennej środowiskowej umożliwia jej włączenie. Atakujący mogący przechwycić połączenie może przedstawić dowolny certyfikat, ukończyć uzgadnianie TLS, odczytać poświadczenia wysyłane w nagłówku Authorization oraz czytać, modyfikować lub wstrzykiwać wiadomości Ditto Protocol.
- CVE-2026-75746Krytyczne
ColdFusion jest dotknięty podatnością SQL Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
- CVE-2026-49883Krytyczne
W funkcji checkReadPermission w pliku PermissionsManager.java istnieje możliwość monitorowania wrażliwych danych o stanie urządzenia z powodu brakującego sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2026-48273Krytyczne
ColdFusion jest dotknięty podatnością Eval Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
- CVE-2026-28659Krytyczne
W MicroXR Blobstore istnieje możliwość dostępu do plików innych aplikacji z powodu brakującego sprawdzenia uprawnień. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2026-19232Krytyczne
Adobe Experience Manager jest dotknięty podatnością nieprawidłowej autoryzacji, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
- CVE-2026-82004Krytyczne
Adobe Campaign Classic (ACC) jest dotknięty podatnością OS Command Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
Apache Airflow FAB provider versions 3.7.3 through 3.8.0 do not validate the issuer or audience of Azure AD `id_token`s during OAuth login. Deployments are affected only when the FAB auth manager is configured with Azure AD as an OAuth provider. Because the signing keys are fetched from Microsoft's **multi-tenant** JWKS endpoint, an `id_token` minted in *any* Azure tenant — including one the attacker creates — passes signature verification, and the username and role assignments are then read from that attacker-controlled token. Anyone able to register an Azure tenant can therefore authenticate to the Airflow UI with no prior access to the deployment. The fix for **CVE-2026-59243** was incomplete, and this advisory closes the remaining gap: that fix made the provider verify the `id_token` signature, but did not add issuer or audience checks. Operators who already applied the CVE-2026-59243 fix are **still affected and must upgrade again** — 3.7.3 is the release that shipped that fix, so every version containing it falls inside this affected range. Upgrade to apache-airflow-providers-fab `3.8.1` or later.