CVE-2026-75157— Apache Airflow 资产事件删除权限控制不当
一分钟漏洞结论
影响对象
Apache Software Foundation Apache Airflow
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
这段漏洞描述信息的中文翻译如下： Apache Airflow 的 asset queued-events（资产排队事件）DELETE 端点在检查调用者权限时，错误地使用了 权限而非 权限。因此，任何拥有某个 Dag 读取权限的认证用户都可以删除该 Dag 的排队中的资产事件，从而默默地抑制了由资产触发的调度任务——这意味着一个改变系统状态的操作（删除）仅由只读权限控制。只要部署环境中使用了基于资产的调度机制，并且 Dag 的读取权限被授予的范围比编辑权限更广（这是常见的 RBAC 配置），即存在受影响的风险；无需
影响版本矩阵 2
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Apache Software Foundation | Apache Airflow | < 3.0.0 |
affected |
3.0.0< 3.3.2 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-75157 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Airflow: Asset queued-events DELETE endpoints gated on Dag READ instead of Dag EDIT (asset-triggered scheduling suppression)
来源: CVE Program / CVE List V5
Vulnerability Description
Apache Airflow's asset queued-events DELETE endpoints checked the caller's Dag-axis permission with `READ` instead of `EDIT`. Any authenticated user who could read a Dag could therefore delete that Dag's queued asset events, silently suppressing asset-triggered scheduling for it — a state-changing action gated on a read-only permission. Deployments are affected whenever asset-triggered scheduling is in use and Dag read access is granted more widely than Dag edit access, which is the normal RBAC arrangement; no special configuration is required. Upgrade to apache-airflow 3.3.2 or later.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Airflow | 0 ~ 3.0.0 | - |
|
| Apache Software Foundation | Apache Airflow | 3.0.0 ~ 3.3.2 | - |
|
二、漏洞 CVE-2026-75157 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-75157 的情报信息
请登录查看更多情报信息。