CVE-2026-33264

Nome do Software Vulnerável e Versões Afetadas apache-airflow versões anteriores a 3.3.0

Description Uma falha na função BaseSerialization.deserialize() permite a execução irrestrita de import string() de caminhos de classe controlados por um invasor quando o Scheduler ou o API Server carrega um DAG serializado. Um autor de DAG pode inserir um gatilho malicioso em um DAG para obter a execução remota de código no processo do API Server ou do Scheduler, ultrapassando a barreira de segurança que impede que o código do autor do DAG seja executado nesses processos.

Recommendations Atualize para a versão 3.3.0 ou posterior do apache-airflow. Restrinja a configuração [core] allowed deserialization classes a uma lista de permissões restrita em implantações onde a confiança nos autores de DAG seja limitada.