p PatchFirst

CVE-2026-68871

CVE-2026-68871 · Apache Airflow Yandex provider: yandex Lockbox backend: team-scope guard bypass resolves another team's Connection or Variable

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The Yandex Lockbox secrets backend in Apache Airflow's Yandex provider resolved a team-scoped Connection or Variable id through the team-agnostic lookup when the team-scoped lookup missed. In a deployment running multi-team mode with this backend, a caller in one team could resolve a secret belonging to another team by supplying an id that spells out that team's namespace, obtaining its credentials in full. No unusual configuration is required beyond enabling multi-team mode and using this backend. Users are advised to upgrade to apache-airflow-providers-yandex 4.5.1 or later, which refuses the team-agnostic fall-through for an id that could name a team namespace.

CVSS 6.5 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • apache airflow yandex provider

    Versions du logiciel
    • ≥ 0, < 4.5.1: Concernée (semver)

    Mettez à jour vers 4.5.1

  • apache-airflow-providers-yandex PyPI

    Versions du logiciel
    • 1.0.0
    • 1.0.0b1
    • 1.0.0b2
    • 1.0.0rc1
    • 1.0.1
    • 1.0.1rc1
    • 2.0.0
    • 2.0.0rc1
    • 2.0.0rc2
    • 2.1.0
    • 2.1.0rc1
    • 2.2.0
    • 2.2.0rc1
    • 2.2.1
    • 2.2.1rc1
    • 2.2.2
    • 2.2.2rc1
    • 2.2.3
    • 2.2.3rc1
    • 3.0.0
    • 3.0.0rc1
    • 3.0.0rc2
    • 3.1.0
    • 3.1.0rc1
    • 3.1.0rc2
    • 3.1.0rc3
    • 3.10.0
    • 3.10.0rc2
    • 3.11.0
    • 3.11.0rc1
    • 3.11.1
    • 3.11.1rc1
    • 3.11.2
    • 3.11.2rc1
    • 3.12.0
    • 3.12.0rc1
    • 3.2.0
    • 3.2.0rc1
    • 3.2.0rc2
    • 3.2.0rc3
    • 3.3.0
    • 3.3.0rc1
    • 3.4.0
    • 3.4.0rc1
    • 3.5.0
    • 3.5.0rc1
    • 3.6.0
    • 3.6.0rc1
    • 3.7.0
    • 3.7.0rc1
    • 3.7.1
    • 3.7.1rc1
    • 3.8.0
    • 3.8.0rc1
    • 3.8.0rc2
    • 3.9.0
    • 3.9.0rc1
    • 3.9.1rc1
    • 4.0.0
    • 4.0.0rc1
    • 4.0.0rc2
    • 4.0.1
    • 4.0.1rc1
    • 4.0.2
    • 4.0.2rc1
    • 4.0.3
    • 4.0.3rc1
    • 4.1.0
    • 4.1.0rc1
    • 4.1.1
    • 4.1.1rc1
    • 4.2.0
    • 4.2.0rc1
    • 4.2.1
    • 4.2.1rc1
    • 4.3.0
    • 4.3.0rc1
    • 4.3.1
    • 4.3.1rc1
    • 4.3.2
    • 4.3.2rc1
    • 4.3.3
    • 4.3.3rc1
    • 4.4.0
    • 4.4.0rc1
    • 4.4.1
    • 4.4.1rc1
    • 4.4.2
    • 4.4.2rc1
    • 4.5.0
    • 4.5.0rc1
    • 4.5.1rc1
    • 4.5.1rc2
    Plages de versions concernées
    • ECOSYSTEM: < 4.5.1

    Mettez à jour vers 4.5.1

Sources originales

Vérifiez votre serveur →