CVE-2026-42252: Krytyczna podatność w Apache Airflow - natychmiastowa aktualizacja wymagana

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-42252
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-06-01
Producent	Apache
Produkt	Airflow
CVSS Score	9.1 (Krytyczny)
EPSS Score	0.1% (percentyl: 16%)
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Oficjalna dokumentacja Apache Airflow w pliku core-concepts/dag-run.html („Passing Parameters when triggering Dags”) prezentowała dosłowny przykład BashOperator(bash_command="echo value: {{ dag_run.conf['conf1'] }}") bez jakiegokolwiek ostrzeżenia o konieczności cytowania / sanityzacji danych. Autorzy DAG-ów, którzy skopiowali ten wzorzec dosłownie do wdrożeń, w których użytkownicy posiadali uprawnienie Dag.can_trigger do danego DAG-a (typowe wdrożenia wielozespołowe, usługi hostowane udostępniające API wyzwalania), mogli zostać narażeni na wstrzyknięcie metaznaków powłoki (shell-metacharacter injection) prowadzące do zdalnego wykonania kodu.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta tak szybko, jak będą dostępne.

Kogo dotyczy?

Podatność dotyczy produktu Airflow firmy Apache. Sprawdź czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła

• NVD - CVE-2026-42252

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.