Apache Airflow SFTP provider: Path traversal in SFTPHook.retrieve_directory

緊急 9.1CVE-2026-50203 · GHSA-qf38-jq28-3ccq · PYSEC-2026-218 · 17/06/2026 公開 · 26/10/2026 更新

要点

CVE-2026-50203 は apache-airflow-providers-sftp, apache-airflow-providers-sftp (apache) に影響する深刻度「緊急」 (CVSS 9.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.63%（全脆弱性の 50.0% より高い）。
対処：5.8.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
apache-airflow-providers-sftp PyPI	`< 5.8.1`	`5.8.1`
apache-airflow-providers-sftp apache	`< 5.8.1`	`5.8.1`

概要

A path traversal in the SFTP provider (SFTPHook.retrieve_directory / SFTPOperator(operation=get)) let a malicious or compromised remote SFTP server write files outside the configured local destination directory via crafted directory-entry names. No Airflow account is required — the attack surface is any deployment downloading directories from an untrusted SFTP server. Upgrade apache-airflow-providers-sftp to 5.8.1 or later.

NVD の説明

A path traversal in the SFTP provider (`SFTPHook.retrieve_directory` / `SFTPOperator(operation=get)`) let a malicious or compromised remote SFTP server write files outside the configured local destination directory via crafted directory-entry names. No Airflow account is required — the attack surface is any deployment downloading directories from an untrusted SFTP server. Upgrade `apache-airflow-providers-sftp` to 5.8.1 or later.