PT-2026-45367
CVE-2026-41084
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 3.2.2
الوصف
يسمح خطأ في واجهة برمجة تطبيقات (API) ”Task Instances“ الجماعية لمستخدم واجهة المستخدم (UI) أو واجهة برمجة التطبيقات (API) الذي تمت مصادقته بتجاوز التفويض وتغيير حالات ”Task Instance“ عبر مجموعات DAG المختلفة. يقوم النظام بتقييم التفويض استنادًا إلى
dag id المقدم في مسار URL، ولكنه ينفذ العمليات باستخدام dag id وdag run id المستخرجين من نص الطلب. ونتيجة لذلك، يمكن للمستخدم الذي يمتلك أذونات التحرير لمجموعة DAG واحدة تعديل مثيلات المهام في أي مجموعة DAG أخرى عن طريق تحديد المعرف المصرح به في عنوان URL والمعرفات المستهدفة في نص الطلب. تؤثر هذه المشكلة على عمليات النشر التي تستخدم نطاق التحرير لكل مجموعة DAG لعزل حالات مثيلات المهام بين الفرق. نقطة النهاية المتأثرة هي ’PATCH/DELETE /api/v2/dags/{dag id}/dagRuns/{dag run id}/taskInstances‘، والمتغيرات المعرضة للخطر هي dag id وdag run id.التوصيات
قم بالترقية إلى الإصدار 3.2.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾