Pierre Jeambrun

Apache Airflow's logout endpoint attempted to revoke the presented token on the server, but any failure during revocation was silently ignored and logout still reported success. When the auth manager redirects logout to an external logout URL (for example the FAB or Keycloak auth managers), server-side revocation is the only thing that invalidates the Airflow token; it failed on database errors and, reliably, for tokens from an external issuer accepted via `[api auth] trusted jwks url` whose token identifier is longer than 32 characters. Anyone holding a copy of a user's token from before logout could keep using it against the Airflow API until it expired. Users are advised to upgrade to apache-airflow 3.4.0 or later.

O endpoint de detalhes do Log de Eventos "GET /api/v2/eventLogs/{event log id}" busca linhas de log de auditoria diretamente por ID numérico após realizar apenas uma verificação genérica de permissão de Log de Auditoria. Isso difere do endpoint de coleção "GET /api/v2/eventLogs", que aplica o escopo por Dag. Consequentemente, um usuário autenticado de UI ou API com permissão de leitura de log de auditoria para um único Dag pode recuperar entradas de log de auditoria de qualquer outro Dag ao adivinhar ou enumerar a variável `event log id`.

Um usuário com permissão de materialização de ativos via UI ou API pode disparar DAGs (Directed Acyclic Graphs, que são coleções de todas as tarefas que você deseja executar, organizadas de forma a refletir suas relações) às quais não possui acesso.

The FastAPI DagVersion listing API in Apache Airflow does not enforce per-DAG authorization filtering when a request is made with the `dag id` parameter set to '~' (wildcard for all DAGs). This allows the retrieval of version metadata for DAGs that the requesting user is not authorized to access.