Tareq Ahamed

Uma implementação inadequada na WebUI permite que um invasor remoto realize a falsificação de domínio (domain spoofing) por meio de um nome de domínio manipulado.

A validação insuficiente de entrada não confiável no componente Network permite que um invasor remoto que comprometeu o processo de renderização ignore a política de mesma origem (same origin policy), que é um mecanismo de segurança que restringe como um documento ou script carregado de uma origem pode interagir com um recurso de outra origem, por meio de uma página HTML manipulada.

The issue is related to insufficient authentication of executed requests in Apache Airflow, allowing an attacker to trigger a DAG in a GET request without CSRF validation. This could enable a malicious website opened in the same browser as the Airflow UI to trigger the execution of DAGs without the user's consent.

The issue allows authenticated and DAG-view authorized users to modify some DAG run detail values when submitting notes, potentially altering details such as configuration parameters and start dates. This is related to improper authorization in the Apache Airflow network programming tool.