CVE-2026-82310
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Dostawca Apache Airflow FAB: dezaktywacja konta użytkownika nie wstrzymuje tokenów wydanych do tego konta przed dezaktywacją. Uwierzytelnianie hasłem poprawnie odrzuca wyłączone konto, ale Core API w dalszym ciągu akceptuje nazewnictwo istniejącego, nie wygasłego tokenu i pozwala temu tokenowi zastąpić go innym — dzięki czemu konto zachowuje dostęp ograniczony do roli przez czas nieokreślony po wyłączeniu go przez administratora. Użytkownik odtwarza swoje własne, uzasadnione dane uwierzytelniające; nie ma mowy o fałszowaniu podpisów ani o eskalacji uprawnień, a dostęp pozostaje w ramach ról, które już posiadasz na koncie.
Ma wpływ na wdrożenia korzystające z Airflow 3 z menedżerem autoryzacji FAB i uwierzytelnianiem za pomocą tokena Core API, gdzie administrator dezaktywuje konto, którego wiersz pozostaje w bazie danych i którego wcześniej wydany token nie wygasł. Wyzwalaczem jest dezaktywacja administracyjna jako działanie powstrzymujące, które po cichu nie jest powstrzymywane.
Użytkownikom Apache-airflow-providers-fab zaleca się aktualizację do wersji 3.9.0 lub nowszej, która odrzuca tokeny nazywające dezaktywowane konto.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org