CVE-2026-59242

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.3.1

Descrição Um usuário autenticado da API com acesso de leitura e escrita no XCom pode instanciar classes airflow.* arbitrárias no servidor da API. Isso ocorre porque o endpoint GET /api/v2/{...}/xcomEntries/{key}?deserialize=true passa um payload de string literal através da função BaseXCom.deserialize value() sem a proteção check forbidden xcom keys. O problema é acionado quando um usuário grava um valor XCom e, posteriormente, o lê com o parâmetro deserialize definido como true. Trata-se de uma falha de desserialização, na qual dados não confiáveis são usados para abusar da lógica de um aplicativo para executar código não pretendido ou instanciar objetos não autorizados.

Recomendações Atualize para a versão 3.3.1 ou posterior do apache-airflow.