Haoxucu

**Nome do Software Vulnerável e Versões Afetadas** Apache Airflow versões anteriores a 3.3.1 **Descrição** Em implantações que utilizam o modo multi-equipe com um gerenciador de autenticação consciente de equipe, o endpoint de materialização de ativos `POST /api/v2/assets/{asset id}/materialize` e a verificação de resultado XCom em `wait dag run until finished` autorizam a Dag de destino sem verificar sua equipe. Isso ocorre porque o gerenciador de autenticação verifica o recurso `DAG` em vez do recurso `DAG:<team>`, ignorando as permissões de escopo de equipe. Consequentemente, um usuário autenticado de uma equipe pode disparar execuções de Dag pertencentes a outra equipe, fornecendo seu próprio `dag run id` e `conf`, e pode ler valores de XCom de outra equipe. Implantações que utilizam o gerenciador de autenticação FAB não são afetadas. **Recomendações** Atualize para a versão 3.3.1 ou posterior.