Apache Airflow : injection de commande dans un DAG d’exemple (CVE-2026-101031)

Veille sécuritéBackend & données

P4Non déterminée

CVE-2026-101031 est une correction incomplète d’un problème antérieur dans l’exemple example_dag_decorator d’Apache Airflow : une valeur IPv6 avec identifiant de zone peut contourner la validation et être incorporée à une commande shell. Un utilisateur pouvant déclencher le DAG avec une URL choisie peut provoquer l’exécution de commandes sur le worker si les DAGs d’exemple sont chargés.

IdentifiantCVE-2026-101031

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifApache Airflow 3.4.0 ou ultérieur

Source : NVD — CVE-2026-101031

Analyse technique

Le DAG récupère une adresse via HTTP, la valide avec le module Python ipaddress puis l’insère dans une commande shell; les identifiants de zone IPv6 peuvent contenir des caractères arbitraires. La source recommande Apache Airflow 3.4.0 ou ultérieur, ou la désactivation des DAGs d’exemple.

Impact, versions et correctif

Événement datéRetenue comme nouvelle publication NVD datée du 2026-11-09 à 10:17:02.313Z, dans la période demandée.

ImpactExécution de commandes sur le worker lorsque les DAGs d’exemple sont activés et qu’un utilisateur peut déclencher le DAG avec une URL adaptée.

Version corrigéeApache Airflow 3.4.0 ou ultérieur

ContournementDésactiver les DAG d’exemple avec load_examples = False.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-09T10:17:02.313Z

Mise à jour2026-11-09T10:17:02.313Z

Action recommandée

Mettre à niveau Apache Airflow vers 3.4.0 ou ultérieur, ou désactiver les DAGs d’exemple avec load_examples = False, en particulier en production.

Sources

NVD — CVE-2026-101031

Priorisation DFS : P4 · 1 source(s).