【漏洞预警】Apache Airflow 爆高危漏洞，DAG 作者能在 Scheduler/API 上执行代码（CVE-2026-58076）

Airflow 序列化层对异常节点用 import_string() 按 blob 内类名导入并实例化，无白名单。DAG 作者可在 executor_config 中植入调用，在 Scheduler 常规反序列化与 API Server 认证读 DAG 时执行（CVE-2026-58076，CVSS 3.1 为 8.8）。受影响为 3.3.0 至低于 3.3.1；与只覆盖 trigger 分支的 CVE-2026-33264 不是同一条。另有登录 next= 开放重定向（CVE-2026-40961，7.2，影响低于 3.2.2）。请把 apache/airflow 升到 3.3.2；今天的 latest 与 3.3.2 是同一份镜像。