CVE-2026-58076

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.3.1

Descrição A camada de serialização falha ao restringir as classes importadas durante a reconstrução de nós de exceção. Ao chamar import string() em um nome de classe e instanciá-lo com argumentos de um blob serializado, o sistema permite que um chamável arbitrário seja importado e invocado. Isso pode ser acionado por meio do executor config de um operador, permitindo que um autor de Dag execute funções como subprocess.check output ou builtins.eval. O problema afeta o Scheduler, que reconstrói Dags serializadas, e o servidor de API através do endpoint GET /api/v2/dags/{dag id}/details. Ambos os componentes possuem acesso às credenciais do banco de dados de metadados e ao segredo de assinatura JWT.

Recomendações Atualize para a versão apache-airflow 3.3.1 ou posterior.