CVE-2026-40690

ŚrednieCVSS 4.3

Opublikowano: 24/04/2026(UTC)Zaktualizowano: 03/11/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Graf zależności zasobów nie ograniczał węzłów na podstawie uprawnień odczytu DAG przeglądającego: użytkownik z dostępem do co najmniej jednego DAG mógł przeglądać graf zasobów dla dowolnego innego zasobu we wdrożeniu i poznać istnienie oraz nazwy DAG-ów i zasobów poza swoim zakresem uprawnień. Zaleca się aktualizację do wersji 3.2.1.

Ocena ryzyka

Możliwe ujawnienie informacji o strukturze DAG-ów i zasobów użytkownikom bez odpowiednich uprawnień. Może to ułatwić dalsze ataki lub naruszyć politykę separacji danych.

Rekomendacja

Zaktualizuj oprogramowanie do wersji 3.2.1 lub nowszej. Przejrzyj uprawnienia użytkowników, aby zminimalizować zakres dostępu.

Inne podatności w Airflow

CVE-2026-38743Średnie
Uwierzytelniony endpoint /ui/dags nie wymuszał kontroli dostępu per-DAG dla osadzonych rekordów Human-in-the-Loop (HITL) i TaskInstance: zalogowany użytkownik Airflow z dostępem do co najmniej jednego DAG mógł pobrać monity HITL (wraz z parametrami żądania) oraz pełne szczegóły TaskInstance dla DAG-ów poza swoim zakresem uprawnień. Zaleca się aktualizację do wersji 3.2.1.

Oryginalny opis (angielski, źródło NVD)

The asset dependency graph did not restrict nodes by the viewer's DAG read permissions: a user with read access to at least one DAG could browse the asset graph for any other asset in the deployment and learn the existence and names of DAGs and assets outside their authorized scope. Users are recommended to upgrade to version 3.2.1, which fixes this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS