Apache Airflow закрыла четыре уязвимости сбоя инвалидации сессий

В apache-airflow-providers-fab 3.9.0 и apache-airflow 3.3.2 исправлены четыре уязвимости (CVE-2026-82311, 86462, 82310, 86473) с оценками до 9.8: сброс пароля, PATCH-редактирование пользователя, деактивация аккаунта и выход через Bearer-токен не отзывали сессии. Атакующий с украденной cookie или токеном сохранял доступ.

• CVE-2026-82311 (9.8): сброс пароля не удалял сессии из-за сравнения строки с целым числом
• CVE-2026-86462 (9.1): PATCH-эндпоинт админа не вызывал хелпер инвалидации
• CVE-2026-82310 (7.2): Core API принимал токен деактивированного аккаунта
• CVE-2026-86473 (9.1): logout не отзывал токен из заголовка Authorization