JVNDB-2026-028624

Apache Software FoundationのApache Airflowにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Apache AirflowのXCom `GET /api/v2/{...}/xcomEntries/{key}?deserialize=true` エンドポイントは、`_check_forbidden_xcom_keys`というガードがない状態で文字列リテラルのペイロードを `BaseXCom.deserialize_value` に渡しており、XComの書き込みおよび読み取り権限を持つ認証済みAPIユーザーがAPIサーバー上で任意の `airflow.*` クラスをインスタンス化できる（CWE-502）問題があります。認証されたユーザーがXCom値を書き込み、その後 `deserialize=true` を指定して読み戻すことで危険なインスタンス化が引き起こされます。ユーザーには、予約済みのXComシリアライズキーをJSON文字列リテラルとして提出することを拒否するapache-airflow 3.3.1以降へのアップグレードを推奨します。

Apache Software Foundation

• Apache Airflow 3.3.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-59242: Apache Airflow: Arbitrary airflow.* class instantiation on the API server via the XCom deserialize endpoint-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-59242: Apache Airflow: Arbitrary airflow.* class instantiation on the API server via the XCom deserialize endpoint

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-59242

1. National Vulnerability Database (NVD) : CVE-2026-59242
2. 関連文書 : Reject reserved XCom serialization keys submitted as JSON string literals by potiuk  Pull Request #69378  apache/airflow  GitHub

• [2026年08月17日]
    掲載