CVE-2025-67895

Nome do Software Vulnerável e Versões Afetadas Apache Airflow Providers Edge3 versões anteriores à 2.0.0

Descrição O provedor Edge3 para o Apache Airflow 2 contém uma vulnerabilidade que permite a um autor de DAG realizar Execução Remota de Código (RCE) no contexto do webserver por meio de uma API não pública. Esta API foi destinada a testes do Edge Provider durante o desenvolvimento e foi habilitada implicitamente quando o provedor Edge3 foi instalado e configurado no Airflow 2. O suporte ao provedor Edge3 no Airflow 2 era exclusivo para desenvolvimento e não foi lançado oficialmente. O problema está presente apenas se o provedor Edge3 foi instalado e configurado no Airflow 2.

Recomendações Se você instalou e configurou o provedor Edge3 para o Airflow 2, desinstale-o e migre para o Airflow 3. Se você utilizou o Edge Provider no Airflow 3, não será afetado.