CVE-2026-81914
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Dostawca Google Apache Airflow zbudował wyrażenia wyszukiwania na Dysku Google, interpolując nazwy plików i folderów bezpośrednio w literały ciągu w pojedynczym cudzysłowie, bez ucieczki przed cudzysłowem, który je ogranicza. Dlatego nazwa zawierająca apostrof kończyła dosłowne wczesne i dołączone do zapytania klauzule wybrane przez atakującego.
Imiona często nie są pisane przez autora Dag. W przypadku transferu z symbolami wieloznacznymi „gcs_to_gdrive” pochodzą one z listy zasobników źródłowych, więc kontroluje je każdy, kto może utworzyć obiekty w tym zasobniku — zazwyczaj zewnętrzny producent danych lub konto usługi przeznaczone wyłącznie do pozyskiwania, podmiot zaufania inny niż autor Dag. Wstrzyknięta klauzula może rozszerzyć dopasowanie i w ten sposób sterować, który plik lub folder zostanie rozwiązany przez hak: przesłane dane mogą zostać skierowane do folderu wskazanego przez atakującego, a ponieważ pobieranie wybiera ostatnio zmodyfikowane dopasowanie, pobranie może zwrócić umieszczony plik, a nie ten, o który prosił Dag.
Ma wpływ na wdrożenia przekazujące nazwy pochodzące z zewnętrznych źródeł do haka Dysku Google, w tym transfery z symbolami wieloznacznymi „gcs_to_gdrive” z zasobników zapisywanych przez mniej zaufanych podmiotów zabezpieczeń. Użytkownikom zaleca się aktualizację do wersji `apache-airflow-providers-google` `22.6.0` lub nowszej, która pomija cudzysłowy i ukośniki odwrotne w każdej wartości interpolowanej w zapytaniu na Dysku.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org