CVE-2026-68969

إصدارات Apache Airflow الأقدم من 3.3.1

يتم تدوين البيانات الحساسة، بما في ذلك قيم المتغيرات ومحتويات extra الخاصة بالاتصالات، في سجل التدقيق بنص عادي عند إرسالها عبر نقاط النهاية الجماعية PATCH /api/v2/variables وPATCH /api/v2/connections. يحدث هذا لأن آلية إخفاء سجل التدقيق لا تتعرف إلا على حقول الطلبات ذات المستوى الأعلى، في حين أن الطلبات المجمعة تضم كيانات متداخلة على مستويين أعمق، مما يتجاوز عملية الإخفاء. ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته ولديه حق الوصول لقراءة سجل التدقيق استرداد هذه الأسرار، حتى لو لم تكن لديه أذونات محددة لقراءة المتغيرات أو الاتصالات. بالإضافة إلى ذلك، يتم تخزين البيانات «الإضافية» (extra) الخاصة بالاتصال دون تشفير في السجل، على الرغم من تشفيرها في جدول الاتصالات. وتحدث هذه المشكلة أيضًا بسبب إجراء «استيراد المتغيرات» (Import Variables) في واجهة مستخدم Airflow.

قم بالترقية إلى إصدار apache-airflow 3.3.1 أو أحدث.