CVE-2026-86792
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Dostawca Apache Airflow Apache Kafka w wersjach 1.15.0 wcześniejszych niż 2.0.0 rozwiązuje ciągi znaków o kropkowanej ścieżce znalezione w „dodatkowym” polu połączenia Kafki na elementy wywoływalne Pythona za pośrednictwem „import_string” bez listy dozwolonych i przekazuje je klientowi confluent-kafka, który je wywołuje. Wdrożenia, które włączyły producenta zdarzeń Kafki — `dag_run_events_enabled` lub `task_instance_events_enabled`, oba domyślnie wyłączone — budują tego klienta w procesie harmonogramu, więc użytkownik, którego jedynym uprawnieniem jest edytowanie połączeń Airflow, uzyskuje wykonanie dowolnego kodu w płaszczyźnie sterowania; model bezpieczeństwa Airflow ogranicza użytkowników konfiguracji połączenia do wykonywania kodu na pracownikach, a nie na programie planującym. Nie ma to wpływu na wdrożenia przy użyciu zarządzanej przez Google Kafki, ponieważ ta ścieżka kodu zastępuje wszelkie dostarczone przez użytkownika „oauth_cb”; zwykli brokerzy i Amazon MSK są narażeni. Użytkownikom zaleca się uaktualnienie do wersji Apache-Airflow-Providers-Apache-Kafka 2.0.0 lub nowszej, która dodaje opcję konfiguracji listy dozwolonych dla wywołań zwrotnych parametrów połączenia.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org