PT-2026-45281
CVE-2026-45192
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-10-11
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 3.2.2
الوصف
يسمح خطأ في نقطة نهاية واجهة برمجة التطبيقات (REST API) GET ’/api/v2/connections/{connection id}‘ لمستخدم واجهة المستخدم/واجهة برمجة التطبيقات (UI/API) المصادق عليه والذي يمتلك إذن قراءة ”Connection“ باسترداد الأسرار المخزنة في كتلة JSON
extra الخاصة بـ ”Connection“. يحدث هذا عندما يتم تخزين الأسرار تحت أسماء حقول غير مدرجة في قائمة السماح بالتحرير (DEFAULT SENSITIVE FIELDS)، مما يؤدي إلى إرجاع البيانات الحساسة، مثل أسماء حقول بيانات اعتماد مزود Slack، في نص عادي. تؤثر هذه المشكلة على عمليات النشر التي تخزن بيانات الاعتماد في كتل extra الخاصة بالاتصال وتمنح حق الوصول للقراءة للاتصال لعدة مستخدمين.التوصيات
قم بالترقية إلى الإصدار 3.2.2 أو أحدث.
قم بتخزين قيم بيانات الاعتماد الحساسة في خادم خلفي للأسرار بدلاً من تضمينها مباشرةً في حقل
extra الخاص بـ Connection.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾