CVE-2026-49297

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-google versões anteriores a 22.2.1

Description Os operadores GCSToSFTPOperator e GCSTimeSpanFileTransformOperator no provedor Google juntam nomes de objetos GCS da API de listagem de buckets a um caminho de sistema de arquivos de destino sem normalização ou verificação de contenção. Um invasor com acesso de gravação ao bucket GCS de origem pode criar objetos contendo segmentos .., resultando em um path traversal. Isso permite que a execução do DAG grave blobs baixados fora do destino pretendido, especificamente o destination path para o GCSToSFTPOperator ou o diretório temporário local do worker para o GCSTimeSpanFileTransformOperator, podendo sobrescrever arquivos arbitrários no servidor SFTP ou no host do worker.

Recommendations Atualize para apache-airflow-providers-google 22.2.1 ou posterior.