Apache - CVE-2026-86473

Il s'agit d'une vulnérabilité dans le endpoint de déconnexion de l'API Core d'Apache Airflow.

Apache Airflow est une plateforme d'orchestration de flux de travail (workflows). Elle offre la définition, la planification et la supervision de pipelines de traitement de données sous forme de graphes orientés acycliques (DAG), avec une interface web d'administration et une API REST.

Ce endpoint n'invoquait la révocation que sur le jeton de session présenté via le cookie _token. Lorsqu'un client API s'authentifie via un en-tête Authorization: Bearer — méthode documentée et recommandée pour les appels à l'API Core — la réponse de déconnexion est renvoyée normalement mais aucune révocation du jeton porteur n'est effectuée. Ce jeton reste valide jusqu'à son expiration naturelle, dont la durée par défaut est de 24 heures et est configurable. La correction introduit la fonction collect_request_tokens(), qui parcourt l'ordre d'authentification de get_user() (bearer, OAuth, trusted-middleware, cookie) et révoque l'ensemble des crédentiels présentés dans la requête, indépendamment du mécanisme utilisé.

Elle permet à un attaquant qui détient déjà une copie d'un jeton porteur valide de maintenir l'accès à l'API Airflow avec les droits du titulaire légitime après que ce dernier s'est cru déconnecté.