CVE-2025-69219

Опубликовано: 09 мар. 2026

Источник: nvd

CVSS3: 8.8

EPSS Низкий

Описание

A user with access to the DB could craft a database entry that would result in executing code on Triggerer - which gives anyone who have access to DB the same permissions as Dag Author. Since direct DB access is not usual and recommended for Airflow, the likelihood of it making any damage is low.

You should upgrade to version 6.0.0 of the provider to avoid even that risk.

Ссылки

https://github.com/apache/airflow/pull/61662
Issue Tracking
Patch
https://lists.apache.org/thread/zjkfb2njklro68tqzym092r4w65m5dq0
Mailing List
http://www.openwall.com/lists/oss-security/2026/03/09/1
Mailing List
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:apache:airflow_providers_http:*:*:*:*:*:*:*:*

Версия от 5.1.0 (включая) до 6.0.0 (исключая)

EPSS

Процентиль: 50%

0.00695

Низкий

8.8 High

CVSS3

Дефекты

CWE-913

Связанные уязвимости

GHSA-9r5j-7r2x-rv4g

CVSS3: 8.8

github

5 месяцев назад

Apache Airflow Providers Http has Unsafe Pickle Deserializatio leading to RCE via HttpOperator

BDU:2026-03002

CVSS3: 8.8

fstec

5 месяцев назад

Уязвимость сетевого программного средства Apache Airflow, связанная с недостаточным контролем ресурсов с динамическим управлением, позволяющая нарушителю выполнить произвольный код

EPSS

Процентиль: 50%

0.00695

Низкий

8.8 High

CVSS3

Дефекты

CWE-913