PT-2026-33603
CVE-2026-40948
·
تاريخ النشر
2026-04-18
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات apache-airflow-providers-keycloak الأقدم من 0.7.0
الوصف
يفشل مدير المصادقة Keycloak في إنشاء أو التحقق من صحة معلمة
state الخاصة بـ OAuth 2.0 أثناء تدفق تسجيل الدخول ورد الاتصال الخاص بتسجيل الدخول، كما أنه لا ينفذ PKCE (Proof Key for Code Exchange)، وهو امتداد أمني لـ OAuth 2.0 يمنع حقن رمز التفويض. يمكن للمهاجم الذي يمتلك حساب Keycloak في نفس المجال إرسال عنوان URL مُعدّل لرد الاتصال إلى متصفح الضحية، مما يجبر الضحية على تسجيل الدخول إلى جلسة عمل Airflow الخاصة بالمهاجم. يتيح هذا الهجوم من نوع «تزوير طلبات الويب (CSRF) عند تسجيل الدخول» أو «تثبيت الجلسة» للمهاجم الحصول على أي بيانات اعتماد تقوم الضحية بتخزينها لاحقًا في «اتصالات Airflow».التوصيات
الترقية إلى الإصدار 0.7.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾