PT-2026-71140
CVE-2026-59242
·
تاريخ النشر
2026-08-12
·
تاريخ التحديث
2026-10-10
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Airflow الأقدم من 3.3.1
الوصف
يمكن لمستخدم واجهة برمجة التطبيقات (API) المصادق عليه، والذي يتمتع بحقوق الوصول للقراءة والكتابة عبر XCom، إنشاء مثيلات لفئات
airflow.* تعسفية على خادم واجهة برمجة التطبيقات. يحدث هذا لأن نقطة النهاية GET /api/v2/{...}/xcomEntries/{key}?deserialize=true تمرر حمولة نصية ثابتة عبر الدالة BaseXCom.deserialize value() دون الحماية التي توفرها check forbidden xcom keys. تنشأ المشكلة عندما يقوم المستخدم بكتابة قيمة XCom ثم يقرأها لاحقًا مع تعيين المعلمة deserialize إلى true. يُعد هذا عيبًا في عملية إزالة التسلسل، حيث تُستخدم البيانات غير الموثوق بها لإساءة استخدام منطق التطبيق لتنفيذ تعليمات برمجية غير مقصودة أو إنشاء مثيلات لكائنات غير مصرح بها.التوصيات
قم بالترقية إلى إصدار apache-airflow 3.3.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾