PT-2026-25887
CVE-2026-28779
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow من 3.1.0 إلى 3.1.7
الوصف
يتم تعيين رمز الجلسة (
token) في ملفات تعريف الارتباط الخاصة بـ Apache Airflow على path=/ بغض النظر عن قيمة base url المُعدة لـ webserver أو api. وهذا يسمح لأي تطبيق يتم استضافته بشكل مشترك تحت نفس النطاق بالتقاط رموز جلسات Airflow صالحة من رؤوس طلبات HTTP، مما قد يؤدي إلى الاستيلاء الكامل على الجلسة دون مهاجمة Airflow مباشرة. يحدد تكوين base url بادئة المسار لعناوين URL لتطبيق الويب Airflow. وعندما لا يتوافق مسار رمز الجلسة بشكل صحيح مع base url، يصبح عرضة لهجمات البرمجة النصية عبر المواقع (XSS) وهجمات اختطاف الجلسة.التوصيات
قم بالترقية إلى إصدار Apache Airflow 3.1.8 أو أحدث لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾