p PatchFirst

CVE-2026-46745

CVE-2026-46745 · Apache Airflow FAB provider: LDAP Filter Injection in FAB Auth Manager _search_ldap reachable via /auth/token

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Apache Airflow FAB Auth Manager contains an LDAP filter injection vulnerability (CWE-90) that allows unauthenticated attackers to exfiltrate directory data or bypass authentication. Upgrade to apache-airflow-providers-fab 3.6.4 or later. If immediate upgrade is not possible, disable LDAP authentication until the provider can be updated.

CVSS 5.3 · Medium · EPSS 0.6% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • apache airflow fab provider

    Versions
    • ≥ 0, < 3.6.4: Affected (semver)

    Update to 3.6.4

  • apache-airflow-providers-fab PyPI

    Versions
    • 1.0.0
    • 1.0.0rc1
    • 1.0.1
    • 1.0.1.dev0
    • 1.0.2
    • 1.0.2.dev0
    • 1.0.2.dev1
    • 1.0.2.dev2
    • 1.0.2b0
    • 1.0.2rc1
    • 1.0.3
    • 1.0.3rc1
    • 1.0.4
    • 1.0.4rc1
    • 1.1.0
    • 1.1.0rc1
    • 1.1.1
    • 1.1.1rc1
    • 1.2.0
    • 1.2.0rc1
    • 1.2.1
    • 1.2.1rc1
    • 1.2.2
    • 1.2.2rc1
    • 1.3.0
    • 1.3.0rc1
    • 1.4.0
    • 1.4.0rc1
    • 1.4.1
    • 1.4.1rc1
    • 1.5.0
    • 1.5.0rc1
    • 1.5.0rc2
    • 1.5.0rc3
    • 1.5.1
    • 1.5.1rc1
    • 1.5.2
    • 1.5.2rc1
    • 1.5.3
    • 1.5.3rc1
    • 1.5.4
    • 1.5.4rc1
    • 2.0.0
    • 2.0.0b1
    • 2.0.0rc1
    • 2.0.0rc2
    • 2.0.0rc3
    • 2.0.0rc4
    • 2.0.1
    • 2.0.1rc1
    • 2.0.2
    • 2.0.2rc1
    • 2.0.2rc2
    • 2.1.0
    • 2.1.0rc1
    • 2.2.0
    • 2.2.0rc1
    • 2.2.1
    • 2.2.1rc1
    • 2.2.1rc2
    • 2.3.0
    • 2.3.0rc1
    • 2.3.1
    • 2.3.1rc1
    • 2.4.0
    • 2.4.0rc1
    • 2.4.1
    • 2.4.1rc1
    • 2.4.2
    • 2.4.2rc1
    • 2.4.3
    • 2.4.3rc1
    • 2.4.4
    • 2.4.4rc1
    • 3.0.0
    • 3.0.0rc1
    • 3.0.0rc2
    • 3.0.1
    • 3.0.1rc1
    • 3.0.2
    • 3.0.2rc1
    • 3.0.3
    • 3.0.3rc1
    • 3.1.0
    • 3.1.0rc1
    • 3.1.1
    • 3.1.1rc1
    • 3.1.2
    • 3.1.2rc1
    • 3.2.0
    • 3.2.0rc1
    • 3.3.0
    • 3.3.0rc1
    • 3.4.0
    • 3.4.0rc1
    • 3.5.0
    • 3.5.0rc1
    • 3.6.0
    • 3.6.0rc1
    • 3.6.1
    • 3.6.1rc1
    • 3.6.2
    • 3.6.2rc1
    • 3.6.3
    • 3.6.3rc1
    • 3.6.4rc1
    Affected ranges
    • ECOSYSTEM: < 3.6.4

    Update to 3.6.4

Original sources

Check your server →