CVE-2026-28779
Beschrijving NL
Apache Airflow-versies 3.1.0 tot en met 3.1.7 sessietoken (_token) in cookies is ingesteld op path=/ ongeacht de geconfigureerde [webserver] base_url of [api] base_url.
Hierdoor kan elke applicatie die onder hetzelfde domein wordt gehost geldige Airflow-sessietokens van HTTP-aanvraagheaders vastleggen, waardoor volledige sessieovername mogelijk is zonder Airflow zelf aan te vallen.
Gebruikers wordt aangeraden om te upgraden naar Apache Airflow 3.1.8 of hoger, waardoor dit probleem wordt opgelost.
Origineel (Engels) tonen
Apache Airflow versions 3.1.0 through 3.1.7 session token (_token) in cookies is set to path=/ regardless of the configured [webserver] base_url or [api] base_url.
This allows any application co-hosted under the same domain to capture valid Airflow session tokens from HTTP request headers, allowing full session takeover without attacking Airflow itself.
Users are recommended to upgrade to Apache Airflow 3.1.8 or later, which resolves this issue.