Michael Lip

تقوم واجهة برمجة تطبيقات تنفيذ المهام (Task Execution API) بتخزين قيم XCom التي تكتبها المهمة دون تطبيق فحص المفتاح المحجوز. يتيح ذلك لمؤلف DAG كتابة XCom يؤدي، عند عرضه من خلال واجهة برمجة التطبيقات مع تمكين إلغاء التسلسل (deserialization)، إلى جعل خادم واجهة برمجة التطبيقات يقوم بإنشاء فئات من نطاق `airflow.*` باستخدام وسائط يختارها مؤلف DAG.

يقوم خادم السجلات (Log server) بتفويض رموز JWT مقابل معرّفات Dag (Dag IDs) من خلال تطبيق الدالة `str.lstrip()` على جزء المسار المطلوب عند التحقق من المطالبة `sub`. ونظرًا لأن الدالة `str.lstrip()` تزيل أي حرف من مجموعة محددة بدلاً من بادئة محددة، فإن الرمز الذي يتم إصداره لـ Dag واحد يمكنه تفويض الوصول إلى أي Dag آخر يبدأ اسمه بأي مجموعة فرعية من الأحرف الموجودة في اسم Dag الأصلي. وهذا يسمح لعامل Airflow تمت مصادقته ولديه رمز JWT صالح من خادم السجلات بتعداد وقراءة سجلات Dags الأخرى، مما قد يؤدي إلى تسرب مخرجات المهام وتتبعات الأخطاء. تؤثر هذه المشكلة على عمليات النشر التي تستخدم نطاق وصول السجلات لكل Dag، مثل طوبولوجيات الفرق المتعددة أو المنفذ المشترك أو العامل المشترك.