High WID-SEC-2026-3264 1 CVE

Apache Airflow: Schwachstelle ermöglicht Erlangen von Benutzerrechten

Published Sep 8, 2026 · Updated Sep 16, 2026 · Revision 2 · de-DE

Vendor: Apache Product: Airflow Platform: Linux

Summary

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Airflow ausnutzen, um Benutzerrechte zu erlangen.

Product

Apache Airflow ist eine Plattform zur programmatischen Erstellung, Planung und Überwachung von Workflows.

Vulnerabilities 1

Critical 9.1

CVE-2026-75156

Apache Airflow FAB provider: FAB Azure AD OAuth: id_token issuer/audience not validated — cross-tenant authentication bypass

Apache Airflow FAB provider versions 3.7.3 through 3.8.0 do not validate the issuer or audience of Azure AD `id_token`s during OAuth login. Deployments are affected only when the FAB auth manager is configured with Azure AD as an OAuth provider. Because the s…

Apache Software Foundation Apache Airflow FAB provider

Sep 8, 2026

Revision history

2026-09-16 #2
Referenz(en) aufgenommen: EUVD-2026-80327
2026-09-08 #1
Initiale Fassung

References

Mailing list OSS-Security vom 2026-09-08
https://seclists.org/oss-sec/2026/q3/677