Podatności Apache Airflow FAB provider
5 znanych podatności CVE w Apache Airflow FAB provider, przetłumaczonych i ocenionych.
- CVE-2026-86466Nieznane
Apache Airflow FAB provider: ścieżka Authentik OAuth w menedżerze uwierzytelniania FAB nie waliduje roszczeń issuer ani audience przyjmowanego id_token. Atakujący posiadający token wygenerowany przez tę samą instancję Authentik dla innej aplikacji klienckiej może przedstawić go Airflow i zostać uwierzytelniony jako wskazany użytkownik, ponieważ roszczenie audience nigdy nie jest sprawdzane. Dotyczy wdrożeń używających menedżera FAB z Authentik OAuth, gdzie ta sama instancja Authentik obsługuje inne aplikacje.
- CVE-2026-82310Nieznane
W Apache Airflow FAB provider dezaktywacja konta użytkownika nie unieważnia wcześniej wydanych tokenów. Tokeny te pozostają ważne i mogą być używane do uzyskiwania dostępu, nawet po dezaktywacji konta przez administratora.
- CVE-2026-86462Nieznane
W providerze Apache Airflow FAB zmiana hasła użytkownika przez endpoint PATCH edycji użytkownika w panelu administracyjnym nie unieważnia istniejących sesji tego użytkownika w bazie danych. Atakujący posiadający kopię ciasteczka sesji zachowuje pełny dostęp po zmianie hasła.
- CVE-2026-82311Nieznane
W providerze Apache Airflow FAB resetowanie hasła użytkownika nie usuwa jego istniejących sesji w bazie danych, mimo udokumentowanego zachowania. Porównanie identyfikatora sesji (string) z identyfikatorem użytkownika (integer) nigdy nie pasuje, więc żadna sesja nie jest usuwana, a atakujący z kopią ciasteczka zachowuje dostęp.
- CVE-2026-75156Krytyczne
Dostawca Apache Airflow FAB w wersjach od 3.7.3 do 3.8.0 nie weryfikuje wystawcy ani odbiorcy tokenów `id_token` Azure AD podczas logowania OAuth. Wdrożenia są zagrożone tylko wtedy, gdy menedżer uwierzytelniania FAB jest skonfigurowany z Azure AD jako dostawcą OAuth. Ponieważ klucze podpisujące są pobierane z wielodostępowego punktu końcowego JWKS Microsoftu, token `id_token` wybity w dowolnej dzierżawie Azure — w tym takiej, którą atakujący sam utworzy — przechodzi weryfikację podpisu, a nazwa użytkownika i przypisane role są następnie odczytywane z tego tokena kontrolowanego przez atakującego. Każdy, kto może zarejestrować dzierżawę Azure, może więc uwierzytelnić się w interfejsie Airflow bez wcześniejszego dostępu do wdrożenia.