S'inscrire
Retour aux alertes CVE
CVE-2026-59243 CRITICAL CVSS 9.8

CVE-2026-59243 — CRITICAL

Publiée 1 month ago Fiche NVD officielle

Qu'est-ce que c'est ?

The FAB auth manager's Azure AD OAuth login defaulted `verify_signature=False` when decoding the ID token, so an attacker able to present a forged or unsigned (`alg:none`) ID token to the OAuth callback could bypass authentication and log in as an arbitrary user, including one holding the Admin role (CWE-347). Deployments running the FAB auth manager with the Azure AD OAuth login path under its default configuration are affected; the Authentik path already defaulted to `True`. This issue affects `apache-airflow-providers-fab` before 3.7.3. Users are advised to upgrade to `apache-airflow-providers-fab` 3.7.3, which defaults `verify_signature=True`.

Technologies affectées

Non précisé par la fiche NVD.

Recommandation

Vérifie la disponibilité d'un correctif pour la technologie concernée et applique-le dès que possible. Consulte la fiche NVD pour les références officielles du fournisseur.

Exploits publics connus (1)

MalHyuk/CVE-2026-59243

CVE-2026-59243 — Apache Airflow FAB Auth Manager JWT signature bypass (embargoed until Apache advisory)

Usage responsable : ces liens pointent vers des dépôts publics GitHub à but éducatif ou de test d'intrusion autorisé. N'utilise ces PoC que sur des systèmes que tu es autorisé à tester.