CVE-2026-82310

Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-fab versões anteriores a 3.9.0

Description A desativação de uma conta de usuário não invalida os tokens emitidos para essa conta antes da desativação. Embora a autenticação por senha rejeite corretamente contas desativadas, a Core API continua a aceitar tokens existentes e não expirados, permitindo que eles gerem substitutos. Isso possibilita que uma conta mantenha acesso baseado em funções indefinidamente após um administrador tê-la desativado, através da reprodução de credenciais legítimas. Este problema ocorre em implantações usando Airflow 3 com o gerenciador de autenticação FAB e autenticação de token da Core API quando uma conta é desativada, mas seu registro permanece no banco de dados.

Recommendations Atualize para a versão 3.9.0 ou posterior.