Vulnerabilidad en Apache Airflow de Apache Software Foundation (CVE-2026-49298)

Un error en el KubernetesExecutor de Apache Airflow causó que los tokens JWT utilizados por los pods de trabajador para autenticarse contra la API de Ejecución se pasaran al contenedor de trabajador como argumentos de línea de comandos visibles en la especificación del pod. Un usuario autenticado de UI/API con acceso de solo lectura a Kubernetes en el clúster (por ejemplo, 'pods/get' en el espacio de nombres de Airflow) podría recolectar el JWT de la salida de 'kubectl describe pod' y luego llamar a los puntos finales de la API de Ejecución que mutan el estado - activando ejecuciones de Dag, borrando ejecuciones, leyendo o escribiendo Variables / Conexiones / XComs - como si fueran una tarea en ejecución. Afecta a las implementaciones que utilizan el 'KubernetesExecutor'. Se aconseja a los usuarios que actualicen a 'apache-airflow' 3.2.2 o posterior. Esta es la mitad de airflow-core de la misma vulnerabilidad abordada por [CVE-2026-27173](https://www.cve.org/CVERecord?id=CVE-2026-27173), que envió el lado de apache-airflow-providers-cncf-kubernetes de la solución. Las implementaciones que ya actualizaron 'apache-airflow-providers-cncf-kubernetes' a 10.17.0 o posterior según el aviso de CVE-2026-27173 deberían actualizar adicionalmente 'apache-airflow' a 3.2.2 o posterior para cerrar la superficie del lado del núcleo - las dos soluciones son complementarias, no duplicadas.