Wysoka

Apache Airflow Providers Http has Unsafe Pickle Deserializatio leading to RCE via HttpOperator

Ujawniono: 09.03.2026
Aktualizacja: 11.10.2026 15:17

A user with access to the DB could craft a database entry that would result in executing code on Triggerer - which gives anyone who have access to DB the same permissions as Dag Author. Since direct DB access is not usual and recommended for Airflow, the likelihood of it making any damage is low.

Users should upgrade to version 6.0.0 of the provider to avoid even that risk.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	apache-airflow-providers-http	< 6.0.0	6.0.0

Odnośniki

Ocena CVSS 8.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-913
Platforma: Python (PyPI)
Paczka: apache-airflow-providers-http
Ujawniono: 09.03.2026
Aktualizacja: 11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2367 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-9r5j-7r2x-rv4g - CC BY 4.0

Historia podatności: apache-airflow-providers-http

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację