PT-2026-21670
CVE-2024-56373
·
تاريخ النشر
2026-02-24
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
8.4
عاليةالمقاييسAV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 2.11.1
الوصف
يمكن لمستخدم يتمتع بأذونات مؤلف DAG التلاعب بقاعدة بيانات Airflow لتنفيذ تعليمات برمجية عشوائية في سياق خادم الويب. قد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد على الخادم عندما يقوم مستخدم بعرض المعلومات التاريخية للمهام. الوظيفة المسؤولة عن هذه الثغرة الأمنية، وهي سجل نماذج السجلات، معطلة افتراضيًا في الإصدار 2.11.1. تتعلق هذه المشكلة بحقن القوالب من جانب الخادم (SSTI) من خلال المعلومات المشتركة في قاعدة البيانات.
التوصيات
قم بالتحديث إلى الإصدار 2.11.1 أو أحدث من Airflow.
إذا كنت بحاجة إلى سجل نماذج السجلات، فقم بالتحديث إلى Airflow 3.
قم بتعديل أسماء ملفات السجلات التاريخية يدويًّا إذا كنت بحاجة إلى عرض السجلات التي تم إنشاؤها قبل آخر تعديل في نموذج السجل.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾