The Apache Airflow Samba provider's `GCSToSambaOperator` joined GCS object names to the SMB destination path without a containment check, so an object named with `../` segments resolved a write path o
The Apache Airflow Samba provider's GCSToSambaOperator joined GCS object names to the SMB destination path without a containment check, so an object named with ../ segments resolved a write path outside the configured destination_path. An attacker able to write objects into the source GCS bucket — typically an external data producer distinct from the trusted DAG author — could write files to arbitrary locations on the Samba target when the operator ran. Upgrade apache-airflow-providers-samba to 4.12.6 or later, which validates the resolved destination stays within destination_path.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | apache-airflow-providers-samba | < 4.12.6 | 4.12.6 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-49818
- https://github.com/apache/airflow/pull/67857
- https://github.com/apache/airflow/commit/bc1df029af15cb1d35d5ca0d33bf9235500137cc
- https://github.com/apache/airflow
- https://github.com/pypa/advisory-database/tree/main/vulns/apache-airflow-providers-samba/PYSEC-2026-208.yaml
- https://lists.apache.org/thread/3vs0m3p51psgf54tts18d6336g24x3sf
- http://www.openwall.com/lists/oss-security/2026/06/09/8
- https://github.com/advisories/GHSA-f6vj-48fm-hmvx
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N- Słabość (CWE)
CWE-22- Platforma
- Python (PyPI)
- Paczka
apache-airflow-providers-samba- Ujawniono
- 09.06.2026
- Aktualizacja
- 11.10.2026 14:18
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-f6vj-48fm-hmvx - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-208 - PyPA Advisory Database; CC BY 4.0
Historia podatności: apache-airflow-providers-samba
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.