CVE-2026-86462
Niskie ryzyko· EPSS 9%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W providerze Apache Airflow FAB zmiana hasła użytkownika przez endpoint PATCH edycji użytkownika w panelu administracyjnym nie unieważnia istniejących sesji tego użytkownika w bazie danych. Atakujący posiadający kopię ciasteczka sesji zachowuje pełny dostęp po zmianie hasła.
Ocena ryzyka
W przypadku przejęcia ciasteczka sesji zmiana hasła nie usuwa atakującego z systemu, co pozwala na dalszy nieautoryzowany dostęp do zasobów ofiary.
Rekomendacja
Zaktualizuj apache-airflow-providers-fab do wersji 3.9.0 lub nowszej, która naprawia ten problem. Wdrożenia, które zastosowały poprawkę CVE-2026-82311, również muszą zainstalować tę aktualizację.
Inne podatności w Apache Airflow FAB provider
Zobacz wszystkie- CVE-2026-75156Krytyczne
Dostawca Apache Airflow FAB w wersjach od 3.7.3 do 3.8.0 nie weryfikuje wystawcy ani odbiorcy tokenów `id_token` Azure AD podczas logowania OAuth. Wdrożenia są zagrożone tylko wtedy, gdy menedżer uwierzytelniania FAB jest skonfigurowany z Azure AD jako dostawcą OAuth. Ponieważ klucze podpisujące są pobierane z wielodostępowego punktu końcowego JWKS Microsoftu, token `id_token` wybity w dowolnej dzierżawie Azure — w tym takiej, którą atakujący sam utworzy — przechodzi weryfikację podpisu, a nazwa użytkownika i przypisane role są następnie odczytywane z tego tokena kontrolowanego przez atakującego. Każdy, kto może zarejestrować dzierżawę Azure, może więc uwierzytelnić się w interfejsie Airflow bez wcześniejszego dostępu do wdrożenia.
- CVE-2026-86466Niskie ryzyko· EPSS 4%
Apache Airflow FAB provider: ścieżka Authentik OAuth w menedżerze uwierzytelniania FAB nie waliduje roszczeń issuer ani audience przyjmowanego id_token. Atakujący posiadający token wygenerowany przez tę samą instancję Authentik dla innej aplikacji klienckiej może przedstawić go Airflow i zostać uwierzytelniony jako wskazany użytkownik, ponieważ roszczenie audience nigdy nie jest sprawdzane. Dotyczy wdrożeń używających menedżera FAB z Authentik OAuth, gdzie ta sama instancja Authentik obsługuje inne aplikacje.
- CVE-2026-82310Niskie ryzyko· EPSS 17%
W Apache Airflow FAB provider dezaktywacja konta użytkownika nie unieważnia wcześniej wydanych tokenów. Tokeny te pozostają ważne i mogą być używane do uzyskiwania dostępu, nawet po dezaktywacji konta przez administratora.
- CVE-2026-82311Niskie ryzyko· EPSS 9%
W providerze Apache Airflow FAB resetowanie hasła użytkownika nie usuwa jego istniejących sesji w bazie danych, mimo udokumentowanego zachowania. Porównanie identyfikatora sesji (string) z identyfikatorem użytkownika (integer) nigdy nie pasuje, więc żadna sesja nie jest usuwana, a atakujący z kopią ciasteczka zachowuje dostęp.
Oryginalny opis (angielski, źródło NVD)
Apache Airflow FAB provider: changing a user's password through the Admin user-edit PATCH endpoint does not invalidate that user's existing database-backed sessions. An attacker who already holds a copy of the victim's session cookie keeps full access as that user after the password change, so the password reset does not evict them. Affects deployments using the FAB auth manager with database-backed sessions; an administrator (or the user themselves) performing a routine password change is the trigger, and no attacker interaction with the endpoint is needed. This is a second, independent route to the outcome addressed by CVE-2026-82311, which corrected an identifier comparison in the session-invalidation helper. That fix does not repair this endpoint, because the PATCH path never calls the helper at all. Deployments that applied the CVE-2026-82311 fix must also upgrade for this one. Users of apache-airflow-providers-fab are recommended to upgrade to version 3.9.0 or later, which fixes the issue.