CVE-2026-42360— Apache Airflow 渲染模板截断绕过嵌套密钥掩码
可能的 ATT&CK 技术 1AI
T1530 · Data from Cloud Storage获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-42360 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Airflow: Rendered template truncation bypasses nested sensitive-key masking
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
A bug in Apache Airflow's rendered-template field handling caused nested sensitive-key masking (e.g. nested `password` / `token` / `secret` / `api_key` keys inside a JSON template structure) to be bypassed when the rendered field exceeded `[core] max_templated_field_length`: Airflow stringified the structure before redaction, losing the nested key context, and persisted the plaintext value into `rendered_fields`. An authenticated UI/API user with permission to read rendered template fields could harvest secret values intended to be masked. Affects deployments where Dag authors pass structured JSON to operators with nested sensitive keys. This is a variant of `CWE-200` previously addressed for the user-registered `mask_secret()` patterns in CVE-2025-68438; that fix did not cover the nested sensitive-keyword allowlist. Users who already upgraded for CVE-2025-68438 should additionally upgrade to `apache-airflow` 3.2.2 or later to cover the nested-key path.
来源: 美国国家漏洞数据库 NVD
CVSS Information
N/A
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
信息暴露
来源: 美国国家漏洞数据库 NVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Airflow | 0 ~ 3.2.2 | - |
二、漏洞 CVE-2026-42360 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-42360 的情报信息
请登录查看更多情报信息。
CVE-2026-42360 补丁与修复 (1)
CVE-2026-42360 邮件列表归档 (1)
同批安全公告 · Apache Software Foundation · 2026-06-01 · 共 28 条
| CVE-2026-44825 | 8.1 HIGH | Apache Solr BasicAuth启用导致不安全用户 |
| CVE-2026-48827 | 7.1 HIGH | Apache MINA SSHD sshd-git 路径遍历漏洞 |
| CVE-2026-45192 | Apache Airflow 连接API敏感字段未完整隐藏漏洞 | |
| CVE-2026-49328 | Apache Fesod 用户输入URL验证不当导致SSRF漏洞 | |
| CVE-2026-35563 | Apache Directory LDAP API 证书主机名验证漏洞 | |
| CVE-2026-49270 | Apache ActiveMQ 通过OpenWire泄露持久订阅信息漏洞 | |
| CVE-2026-49157 | Apache ActiveMQ 默认允许低权限Web用户通过Jolokia管理Broker | |
| CVE-2026-46605 | Apache ActiveMQ 目的地删除时授权不完整漏洞 | |
| CVE-2026-45505 | Apache ActiveMQ Jolokia添加网络连接器发现包装器绕过 | |
| CVE-2026-42588 | Apache ActiveMQ Jolokia远程代码执行漏洞 | |
| CVE-2026-42253 | Apache ActiveMQ JMS消息属性导致HTTP响应头注入漏洞 | |
| CVE-2026-49298 | Apache Airflow KubernetesExecutor命令参数JWT令牌暴露漏洞 | |
| CVE-2026-48726 | Apache Airflow 认证管理器注销路径中 revoke_token 不可达 | |
| CVE-2026-46764 | Apache Airflow DAG范围事件日志权限绕过 | |
| CVE-2026-45426 | Apache Airflow日志服务器JWT授权绕过漏洞 | |
| CVE-2026-45360 | Apache Airflow 自定义反序列化任意导入漏洞 | |
| CVE-2026-42359 | Apache Airflow XCom PATCH端点远程代码执行漏洞 | |
| CVE-2026-42358 | Apache Airflow 变量掩码深度限制绕过导致密文泄露 | |
| CVE-2026-42252 | Apache Airflow BashOperator Jinja2注入漏洞 | |
| CVE-2026-41084 | Apache Airflow API 授权绕过，跨DAG批量任务实例 |
显示前 20 条，共 28 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-42360
暂无评论