PT-2026-45371
CVE-2026-42359
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 3.2.2
الوصف
يسمح خطأ في نقطة نهاية XCom PATCH ”PATCH /api/v2/xcomEntries/{key}“ لمستخدم واجهة المستخدم/واجهة برمجة التطبيقات (UI/API) المصادق عليه والذي يتمتع بإذن كتابة XCom على Dag بتعيين إدخالات XCom باستخدام أسماء مفاتيح محجوزة، مثل
return value. في حين أن نقطة نهاية POST تتحقق من صحة FORBIDDEN XCOM KEYS، فإن نقطة نهاية PATCH لا تفعل ذلك. بالإضافة إلى ذلك، تقبل نقطة النهاية أشكال الحمولة المتسلسلة التي يعاملها مُزيل التسلسل الخاص بالمُشغّل على أنها كود. يتيح هذا المزيج تنفيذ الكود عن بُعد (RCE) على المُشغّل عند تأجيل المهمة المتأثرة في المرة التالية. تؤثر هذه المشكلة بشكل خاص على عمليات النشر التي يمتلك فيها مستخدمون غير موثوق بهم أذونات كتابة XCom على Dags التي تُؤجل إلى المُشغّل.التوصيات
قم بالتحديث إلى الإصدار 3.2.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾