CVE-2026-40913 Exposición de información en la API Import Errors de Apache Airflow
La API pública Import Errors de Apache Airflow devuelve el stack trace crudo de fallas de parseo a cualquier usuario con el permiso ImportError.can_read cuando el archivo fallido no tiene un DAG registrado. Esto permite leer rutas de archivos y código que el usuario no debería ver. Se corrige en Apache Airflow 3.4.0, que restringe estos stack traces al nuevo permiso IMPORT_ERRORS_ALL.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache Airflow
hasta antes de 3.4.0
Qué hacer
- Verificá si usás Apache Airflow y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Apache Airflow's public Import Errors API returns the raw parse-failure stack trace to any user with the `ImportError.can_read` permission when the failing file has no registered DAG. This happens when a file fails to parse before any DAG is defined, or when all of its previously registered DAGs are removed but the parse error remains. Users who should not see that file's details can read stack traces that may expose file paths and code.
Users are advised to upgrade to Apache Airflow 3.4.0 or later, which restricts these stack traces to users with the new `IMPORT_ERRORS_ALL` permission.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.