CVE-2026-86466
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Dostawca Apache Airflow FAB: ścieżka Authentik OAuth w menedżerze uwierzytelniania FAB nie weryfikuje roszczeń wystawcy ani odbiorców akceptowanego przez siebie tokenu id_token. Osoba atakująca posiadająca token wytworzony przez tego samego dostawcę tożsamości Authentik dla innej aplikacji klienckiej może przedstawić go Airflow i zostać uwierzytelniona jako nazwany przez niego użytkownik, ponieważ roszczenia odbiorców nigdy nie są sprawdzane. Wpływa na wdrożenia korzystające z menedżera autoryzacji FAB z Authentik OAuth, gdzie ta sama instancja Authentik obsługuje również inne aplikacje; atakujący potrzebuje ważnego tokena do którejkolwiek z tych innych aplikacji, a nie do Airflow.
W CVE-2026-75156 poprawiono tę samą brakującą weryfikację w ścieżce usługi Azure AD w tym pliku; ścieżka Authentik pozostała niezmieniona i została tutaj naprawiona. Wdrożenia, w których zastosowano poprawkę CVE-2026-75156 i korzystają z Authentik, muszą również zostać uaktualnione do tego.
Użytkownikom Apache-airflow-providers-fab zaleca się aktualizację do wersji 3.9.0 lub nowszej, co rozwiązuje problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org