CVE-2026-86473

Nome do Software Vulnerável e Versões Afetadas Apache Airflow versões anteriores a 3.3.2

Description O endpoint de logout da Core API revoga apenas tokens de sessão fornecidos através do cookie token. Se um cliente utilizar um cabeçalho de autorização bearer para autenticação durante o logout, o endpoint retorna uma resposta de sucesso sem revogar o token. Isso permite que o token permaneça válido até a sua expiração, que é de 24 horas por padrão. Um invasor que possua uma cópia deste token pode manter o acesso à conta da vítima mesmo após a vítima ter efetuado o logout.

Recommendations Atualize para a versão 3.3.2 ou posterior.