p PatchFirst

CVE-2026-33858

CVE-2026-33858 · Apache Airflow: Unsafe Deserialization via Legacy Serialization Keys (__type/__var) Bypass in XCom API

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Dag Authors, who normally should not be able to execute code in the webserver context could craft XCom payload causing the webserver to execute arbitrary code. Since Dag Authors are already highly trusted, severity of this issue is Low. Users are recommended to upgrade to Apache Airflow 3.2.0, which resolves this issue.

CVSS 8.8 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • apache airflow

    Версии
    • ≥ 3.1.8, < 3.2.0: Затронуто (semver)

    Обновитесь до 3.2.0

  • apache-airflow PyPI

    Версии
    • 3.1.8
    • 3.2.0b1
    • 3.2.0b2
    • 3.2.0rc1
    • 3.2.0rc2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 3.1.8, < 3.2.0

    Обновитесь до 3.2.0

Первоисточники

Проверьте свой сервер →