PT-2026-93421 · Apache Airflow · Apache Airflow Fab Provider

Jarek Potiuk

·

CVE-2026-86466

·

Publicado

2026-09-16

·

Atualizado

2026-09-24

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas apache-airflow-providers-fab versões anteriores a 3.9.0
Description O caminho Authentik OAuth no gerenciador de autenticação FAB não valida as reivindicações de emissor ou audiência do id token aceito. Isso permite que um invasor que possua um token válido emitido pelo mesmo provedor de identidade Authentik para um aplicativo de cliente diferente o apresente ao Airflow e seja autenticado como o usuário nomeado, pois a reivindicação de audiência não é verificada.
Recommendations Atualize para a versão 3.9.0 ou posterior.

Exploit

Correção

Origin Validation Error

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

CLEANSTART-2026-RR24550
CVE-2026-86466

Produtos afetados

Apache Airflow Fab Provider