PT-2026-45384
CVE-2026-49298
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 3.2.2
الوصف
يؤدي خطأ في
KubernetesExecutor إلى تمرير رموز JSON Web Tokens (JWT) — التي تستخدمها حاويات العمل (worker pods) للمصادقة عبر واجهة برمجة تطبيقات التنفيذ (Execution API) — إلى حاوية العمل كمعلمات لسطر الأوامر. وتظهر هذه الرموز في مواصفات الحاوية. يمكن لمستخدم واجهة المستخدم (UI) أو واجهة برمجة التطبيقات (API) المصادق عليه، والذي يتمتع بوصول Kubernetes للقراءة فقط إلى المجموعة، مثل إذن pods/get في مساحة اسم Airflow، استرداد JWT عبر إخراج الأمر kubectl describe pod. وهذا يسمح للمستخدم باستدعاء نقاط نهاية واجهة برمجة التطبيقات (API) للتنفيذ التي تغير الحالة لتشغيل DAG، أو مسح عمليات التشغيل، أو قراءة وكتابة المتغيرات والاتصالات وXCom، مما يؤدي فعليًا إلى انتحال صفة مهمة قيد التشغيل.التوصيات
قم بالترقية إلى الإصدار 3.2.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾