Vulnerabilidad en Apache Airflow de Apache Software Foundation (CVE-2026-49487)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

07/07/2026

Última modificación:

25/10/2026

Descripción

En Apache Airflow anterior a 3.3.0, los endpoints de detalle y lista de instancias de tarea de la API REST devolvían los kwargs de trigger de una tarea diferida sin enmascaramiento. Cuando un operador diferido pasaba un secreto (por ejemplo, una clave API de proveedor) a su trigger, cualquier usuario autenticado con acceso de lectura a instancias de tarea con ámbito DAG para ese DAG podía leer ese secreto en texto claro mientras la tarea estaba diferida. Los usuarios deberían actualizar a apache-airflow 3.3.0 o posterior, que enmascara valores sensibles en los kwargs de trigger devueltos por la API.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno