CVE-2026-75157

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.3.2

Description Os endpoints DELETE de eventos enfileirados de ativos (asset queued-events) verificam incorretamente a permissão do eixo Dag do chamador usando READ em vez de EDIT. Isso permite que qualquer usuário autenticado com acesso de leitura a um Dag exclua seus eventos de ativos enfileirados, suprimindo silenciosamente o agendamento disparado por ativos. Este problema ocorre em implantações onde o agendamento disparado por ativos está ativo e o acesso de leitura ao Dag é concedido de forma mais ampla do que o acesso de edição, que é a configuração padrão de Controle de Acesso Baseado em Função (RBAC).

Recommendations Atualize para a versão do apache-airflow 3.3.2 ou posterior.