Tareq Ahamed

يسمح تنفيذ غير سليم في واجهة المستخدم على الويب (WebUI) لمهاجم عن بُعد بتنفيذ عملية انتحال النطاق باستخدام اسم نطاق مُصمم خصيصًا.

يؤدي عدم كفاية التحقق من صحة المدخلات غير الموثوق بها في مكون الشبكة إلى تمكين المهاجم عن بُعد الذي اخترق عملية العرض من تجاوز سياسة «نفس المنشأ» (same origin policy)، وهي آلية أمان تقيد كيفية تفاعل مستند أو برنامج نصي تم تحميله من منشأ ما مع مورد من منشأ آخر، وذلك باستخدام صفحة HTML مصممة خصيصًا لهذا الغرض.

The issue is related to insufficient authentication of executed requests in Apache Airflow, allowing an attacker to trigger a DAG in a GET request without CSRF validation. This could enable a malicious website opened in the same browser as the Airflow UI to trigger the execution of DAGs without the user's consent.

The issue allows authenticated and DAG-view authorized users to modify some DAG run detail values when submitting notes, potentially altering details such as configuration parameters and start dates. This is related to improper authorization in the Apache Airflow network programming tool.