Skip to content
OpenAdvisories
High WID-SEC-2026-2551 1 CVE

Apache Airflow FAB provider: Schwachstelle ermöglicht Erlangen von Administratorrechten

Published Jul 27, 2026 · Updated Jul 28, 2026 · Revision 2 · de-DE

Vendor: Apache Product: Airflow Platform: Linux

Summary

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Airflow FAB provider ausnutzen, um Sicherheitsmaßnahmen zu umgehen und Administratorrechte zu erlangen.

Product

Apache Airflow ist eine Plattform zur programmatischen Erstellung, Planung und Überwachung von Workflows.

Vulnerabilities 1

  • Critical 9.8
    CVE-2026-59243 Public exploit

    Apache Airflow FAB provider: FAB auth manager: JWT signature verification disabled by default for Azure AD OAuth (`verify_signature` defaults to `False`)

    The FAB auth manager's Azure AD OAuth login defaulted `verify_signature=False` when decoding the ID token, so an attacker able to present a forged or unsigned (`alg:none`) ID token to the OAuth callback could bypass authentication and log in as an arbitrary u…

    Apache Software Foundation Apache Airflow FAB provider

Revision history

  1. #2

    Referenz(en) aufgenommen: EUVD-2026-50216

  2. #1

    Initiale Fassung

References