PT-2026-45375
CVE-2026-45426
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-06-05
الوصف من
CVSS 3.1
3.1
منخفضةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 3.2.2
الوصف
يقوم خادم السجلات (Log server) بتفويض رموز JWT مقابل معرّفات Dag (Dag IDs) من خلال تطبيق الدالة
str.lstrip() على جزء المسار المطلوب عند التحقق من المطالبة sub. ونظرًا لأن الدالة str.lstrip() تزيل أي حرف من مجموعة محددة بدلاً من بادئة محددة، فإن الرمز الذي يتم إصداره لـ Dag واحد يمكنه تفويض الوصول إلى أي Dag آخر يبدأ اسمه بأي مجموعة فرعية من الأحرف الموجودة في اسم Dag الأصلي. وهذا يسمح لعامل Airflow تمت مصادقته ولديه رمز JWT صالح من خادم السجلات بتعداد وقراءة سجلات Dags الأخرى، مما قد يؤدي إلى تسرب مخرجات المهام وتتبعات الأخطاء. تؤثر هذه المشكلة على عمليات النشر التي تستخدم نطاق وصول السجلات لكل Dag، مثل طوبولوجيات الفرق المتعددة أو المنفذ المشترك أو العامل المشترك.التوصيات
قم بالترقية إلى الإصدار 3.2.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾