p PatchFirst

CVE-2026-41018

CVE-2026-41018 · Apache Airflow Providers Elasticsearch: Elasticsearch task-log handler leaks credentials embedded in the host URL

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

The Elasticsearch logging provider, when configured with a `host` URL that embeds credentials (for example `https://user:[email protected]:9200`), wrote the full host URL — including the embedded credentials — into task logs. Any user with task-log read permission could harvest the backend credentials. Users are advised to upgrade to `apache-airflow-providers-elasticsearch` 6.5.3 or later and, as a defense-in-depth measure, configure the backend credentials via a secret backend rather than embedding them in the `[elasticsearch] host` URL.

CVSS 6.5 · Media · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • apache airflow providers elasticsearch

    Versiones
    • ≥ 0, < 6.5.3: Afectada (semver)

    Actualiza a 6.5.3

  • apache-airflow-providers-elasticsearch PyPI

    Versiones
    • 1.0.0
    • 1.0.0b1
    • 1.0.0b2
    • 1.0.0rc1
    • 1.0.1
    • 1.0.1rc1
    • 1.0.2
    • 1.0.2rc1
    • 1.0.3
    • 1.0.3rc1
    • 1.0.4
    • 1.0.4rc1
    • 2.0.0
    • 2.0.0rc1
    • 2.0.1
    • 2.0.1rc1
    • 2.0.2
    • 2.0.2rc1
    • 2.0.2rc2
    • 2.0.3
    • 2.0.3rc1
    • 2.1.0
    • 2.1.0rc1
    • 2.2.0
    • 2.2.0rc3
    • 3.0.0
    • 3.0.0rc1
    • 3.0.1
    • 3.0.1rc1
    • 3.0.2
    • 3.0.2rc1
    • 3.0.3
    • 3.0.3rc1
    • 4.0.0
    • 4.0.0rc1
    • 4.0.0rc2
    • 4.1.0
    • 4.1.0rc1
    • 4.2.0
    • 4.2.0rc1
    • 4.2.0rc2
    • 4.2.0rc3
    • 4.2.1
    • 4.2.1rc1
    • 4.3.0
    • 4.3.0rc1
    • 4.3.1
    • 4.3.1rc2
    • 4.3.1rc3
    • 4.3.2
    • 4.3.2rc1
    • 4.3.2rc2
    • 4.3.3
    • 4.3.3rc1
    • 4.4.0
    • 4.4.0rc1
    • 4.5.0
    • 4.5.0rc1
    • 4.5.0rc2
    • 4.5.1
    • 4.5.1rc1
    • 5.0.0
    • 5.0.0rc1
    • 5.0.0rc2
    • 5.0.0rc3
    • 5.0.1
    • 5.0.1rc1
    • 5.0.2
    • 5.0.2rc1
    • 5.1.0
    • 5.1.0rc1
    • 5.1.1
    • 5.1.1rc1
    • 5.2.0
    • 5.2.0rc1
    • 5.3.0
    • 5.3.0rc1
    • 5.3.1
    • 5.3.1rc1
    • 5.3.2
    • 5.3.2rc1
    • 5.3.3
    • 5.3.3rc1
    • 5.3.4
    • 5.3.4rc1
    • 5.4.0
    • 5.4.0rc1
    • 5.4.0rc2
    • 5.4.1
    • 5.4.1rc1
    • 5.4.2
    • 5.4.2rc1
    • 5.5.0
    • 5.5.0rc1
    • 5.5.1
    • 5.5.1rc1
    • 5.5.2
    • 5.5.2rc1
    • 5.5.3
    • 5.5.3rc1
    • 6.0.0
    • 6.0.0rc1
    • 6.0.0rc2
    • 6.1.0
    • 6.2.0
    • 6.2.0rc1
    • 6.2.1
    • 6.2.1rc1
    • 6.2.2
    • 6.2.2rc1
    • 6.3.0
    • 6.3.0rc1
    • 6.3.1
    • 6.3.1rc1
    • 6.3.2
    • 6.3.2rc1
    • 6.3.3
    • 6.3.3rc1
    • 6.3.4
    • 6.3.4rc1
    • 6.3.5
    • 6.3.5rc1
    • 6.4.0
    • 6.4.0rc1
    • 6.4.1
    • 6.4.1rc1
    • 6.4.2
    • 6.4.2rc1
    • 6.4.3
    • 6.4.3rc1
    • 6.4.4
    • 6.4.4rc1
    • 6.5.0
    • 6.5.0rc1
    • 6.5.0rc2
    • 6.5.0rc3
    • 6.5.1
    • 6.5.1rc1
    • 6.5.2
    • 6.5.2rc1
    • 6.5.3rc1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.5.3

    Actualiza a 6.5.3

  • elasticsearch Ubuntu:16.04:LTS

    Versiones
    • 1.6.2+dfsg-1
    • 1.7.3+dfsg-1
    • 1.7.3+dfsg-2
    • 1.7.3+dfsg-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →