CVE-2026-59244
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Masker sekretów w Apache Airflow nie maskował wartości zmiennych `var.json`, których wartość jest słownikiem, w interfejsie Rendered Templates — wartość słownika nie przeszła kontroli `isinstance(str)` — więc sekret przechowywany jako zmienna JSON i odwoływany w szablonie przez `var.json` był wyświetlany w postaci jawnego tekstu każdemu użytkownikowi mającemu dostęp do widoku Rendered Templates danego zadania. Zaleca się aktualizację do apache-airflow 3.3.1 lub nowszego, który maskuje zagnieżdżone wartości zmiennych niezależnie od typu.
Ocena ryzyka
Ujawnienie sekretów przechowywanych w zmiennych JSON może prowadzić do nieautoryzowanego dostępu do danych i systemów, naruszając poufność informacji.
Rekomendacja
Zaleca się aktualizację Apache Airflow do wersji 3.3.1 lub nowszej, która zawiera poprawkę maskowania zagnieżdżonych wartości. Należy również ograniczyć dostęp do widoku Rendered Templates i rozważyć rotację ujawnionych sekretów.
Oryginalny opis (angielski, źródło NVD)
Apache Airflow's secrets masker did not mask `var.json` Variable values whose value is a dict in the Rendered Templates UI — the dict value failed an `isinstance(str)` guard — so a secret stored as a JSON Variable and referenced in a template via `var.json` was displayed in cleartext to any user with access to that task's Rendered Templates view. Users are advised to upgrade to apache-airflow 3.3.1 or later, which masks nested Variable values regardless of type.