Vulnerabilidad en Apache Airflow de Apache Software Foundation (CVE-2026-45192)

Un error en el endpoint de la API REST GET '/api/v2/connections/{connection_id}' en Apache Airflow permitió a un usuario autenticado de UI/API con permiso de lectura de Conexión recuperar secretos almacenados en un blob JSON extra de una Conexión bajo nombres de campo no presentes en la lista de permitidos de redacción ( DEFAULT_SENSITIVE_FIELDS ) — por ejemplo, los nombres de campo de credenciales oficiales del proveedor de Slack se devolvieron en texto plano. Afecta a las implementaciones que almacenan credenciales en blobs extra de Conexión y otorgan acceso de lectura de Conexión a múltiples usuarios. Se aconseja a los usuarios actualizar a apache-airflow 3.2.2 o posterior. Como una mitigación de defensa en profundidad, los operadores de implementación pueden almacenar valores de credenciales sensibles en un backend de secretos en lugar de incrustados en el campo extra de la Conexión.