CVE-2026-40963
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Endpoint structure_data w interfejsie Airflow UI zwracał węzły grafu zależności dla połączonych DAG-ów bez sprawdzania, czy wywołujący ma uprawnienia do odczytu tych DAG-ów. Uwierzytelniony użytkownik UI/API upoważniony do jednego DAG-a mógł wyliczyć identyfikatory i metadane zależności dla innych DAG-ów, do których nie miał dostępu.
Ocena ryzyka
Organizacje polegające na zakresowaniu odczytu na poziomie DAG-a w celu zachowania prywatności topologii zależności między zespołami są narażone na wyciek informacji o strukturze DAG-ów.
Rekomendacja
Zaleca się aktualizację do wersji `apache-airflow` 3.2.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The structure_data endpoint in the Airflow UI returned external dependency graph nodes for linked Dags without checking whether the caller had read permission on those linked Dags. An authenticated UI/API user authorized for one Dag could enumerate linked Dag IDs and dependency metadata for other Dags they were not authorized to read. Affects deployments that rely on per-Dag read scoping to keep Dag dependency topology private across teams. Users are advised to upgrade to `apache-airflow` 3.2.2 or later.