CVE-2026-54183
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W Apache Airflow, masker sekretów ukrywa wartości przechowywane pod wrażliwymi nazwami kluczy, gdy są wyświetlane w interfejsie użytkownika. Limit głębokości rekurencji maskera nie schodził do wartości zagnieżdżonych w liście, krotce lub zbiorze poza tym limitem, więc zmienna Airflow zawierająca tak głęboko zagnieżdżoną wartość była wyświetlana bez maskowania w interfejsie zmiennych. Ekspozycja ogranicza się do interfejsu użytkownika: każdy uwierzytelniony użytkownik, który widzi zmienną w interfejsie, może już odczytać jej pełną wartość przez API REST zmiennych, więc nie ujawnia to danych, których użytkownik nie mógłby w inny sposób uzyskać — maskowanie jest obroną przed podglądaniem ekranu, a nie granicą kontroli dostępu. Jest to niekompletna poprawka po CVE-2026-42358, której poprawka uczyniła tylko przechodzenie po słowniku nieograniczonym; listy, krotki i zbiory poza limitem głębokości pozostały niezmaskowane w interfejsie. Wdrożenia, które zastosowały poprawkę CVE-2026-42358, powinny również dokonać aktualizacji, aby rozwiązać ten przypadek. Zalecana jest aktualizacja do apache-airflow 3.3.1 lub nowszej.
Ocena ryzyka
Ryzyko jest niskie, ponieważ dane nie są ujawniane użytkownikom, którzy nie mają już do nich dostępu przez API, ale może to prowadzić do przypadkowego ujawnienia sekretów osobom postronnym (np. podczas prezentacji ekranu).
Rekomendacja
Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszej, aby zapewnić pełne maskowanie sekretów w interfejsie użytkownika.
Oryginalny opis (angielski, źródło NVD)
Apache Airflow's secrets masker hides values stored under sensitive key names when they are displayed in the UI. The masker's recursion-depth limit did not descend into values nested inside a list, tuple, or set beyond that limit, so an Airflow Variable holding such a deeply-nested value was shown unmasked in the Variables UI. The exposure is limited to the UI: any authenticated user who can see the Variable in the UI can already read its full value through the Variables REST API, so this does not disclose data the user could not otherwise obtain — the masking is a shoulder-surfing defense for the UI, not an access-control boundary. This is an incomplete-fix follow-up to CVE-2026-42358, whose fix made only the dictionary walk unbounded; lists, tuples, and sets beyond the depth limit remained unmasked in the UI. Deployments that applied the CVE-2026-42358 fix should also upgrade to address this residual case. Upgrade to apache-airflow 3.3.1 or later.