PT-2026-56175
CVE-2026-33264
·
تاريخ النشر
2026-07-07
·
تاريخ التحديث
2026-10-17
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات apache-airflow الأقدم من 3.3.0
الوصف
يسمح خطأ في الدالة
BaseSerialization.deserialize() باستخدام import string() دون قيود لمسارات الفئات التي يتحكم فيها المهاجم عندما يقوم المجدول (Scheduler) أو خادم واجهة برمجة التطبيقات (API Server) بتحميل مخطط DAG متسلسل. يمكن لمؤلف مخطط DAG تضمين مشغل ضار في مخطط DAG لتنفيذ تعليمات برمجية عن بُعد على خادم واجهة برمجة التطبيقات (API Server) أو عملية المجدول (Scheduler)، متجاوزًا الحدود الأمنية التي تمنع تنفيذ تعليمات برمجية مؤلف مخطط DAG داخل تلك العمليات.التوصيات
قم بالترقية إلى إصدار apache-airflow 3.3.0 أو أحدث.
قم بتقييد إعداد
[core] allowed deserialization classes ليقتصر على قائمة مسموح بها محدودة في عمليات النشر التي تكون فيها الثقة في مؤلفي DAG محدودة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾