CVE-2025-69219
Publiée le 2026-03-09 · Dernière modification le 2026-06-17
Les installations d'Apache Airflow sont concernées si un attaquant dispose d'un accès de bas niveau à la base de données sous-jacente. En créant une entrée spécifique dans la base de données, un attaquant peut exécuter du code arbitraire sur le composant Triggerer, lui octroyant ainsi les mêmes permissions qu'un auteur de DAG. Cette faille est relativement facile à exploiter via le réseau une fois l'authentification à la base de données obtenue, et ne nécessite aucune interaction supplémentaire de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A user with access to the DB could craft a database entry that would result in executing code on Triggerer - which gives anyone who have access to DB the same permissions as Dag Author. Since direct DB access is not usual and recommended for Airflow, the likelihood of it making any damage is low. You should upgrade to version 6.0.0 of the provider to avoid even that risk.