O mascarador de segredos do Apache Airflow oculta valores armazenados em nomes de chave sensíveis quando eles são mostrados na interface de usuário. O limite de profundidade de recursão do masker não desceu em valores aninhados dentro de uma lista, tuple ou definidos além desse limite, de modo que uma variável de fluxo de ar que segurava um valor tão profundo foi mostrado desmascarado na interface de usuário das variáveis. A exposição é limitada à interface de usuário: qualquer usuário autenticado que possa ver a variável na interface de usuário já pode ler o seu valor completo através da API REST de variáveis, por isso isso não divulga dados que o usuário não poderia obter de outra forma — a mascaração é uma defesa de surf para ombros para a interface de usuário, não um limite de controle de acesso. Este é um seguimento incompleto do CVE- 2026 - 42358, cuja correção fez apenas o dicionário caminhar sem limites; listas, tuplas e definições além do limite de profundidade permaneceram desmascaradas na interface. Implementações que aplicaram o CVE- 2026 - 42358 correção também deve atualizar para endereçar este caso residual. Atualizar para apache-airflow 3.3.1 ou mais tarde.
Registro de aconselhamento: GHSA- g 4 qj-. 5 Vxv- wggf. Identificadores relacionados: CVE- 2026 - 54183. Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 12 T 18: 31: 18.000 Z e lista a sua última modificação como 2026 - 08 - 12 T 18: 31: 18.000 Z.
Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões.
Classificação e evidência: identificadores de fraqueza CWE- 200. O registro contém 4 suporte de referências nestes tipos: AVISO, WEB.