Apache · Airflow
CVE-2020-11978
Apache Airflow Command Injection
ما هي
An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on the executor in use). If you already have examples disabled by setting load_examples=False in the config then you are not vulnerable.
CISA: A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow.
ما العمل
Apply updates per vendor instructions.
الموعد النهائي للوكالات الفدرالية الأمريكية: 18 يوليو 2022
- أُضيفت إلى قائمة CISA
- 18 يناير 2022
- نُشرت
- 16 يوليو 2020
- الخطورة
- مرتفع 8.8 CVSS 3.1
- احتمال الهجمات خلال الأيام الـ30 القادمة (EPSS)
- 99.2% ضمن أعلى 0.1% من كل الثغرات المعروفة
- نوع الضعف
- CWE-78
- تفاصيل أكثر
- NVD · CVE.org · CISA
كل المراجع (3)
ثغرات مُستغلّة أخرى من Apache
| أُضيفت | الثغرة | المنتج | الخطورة | احتمال الهجوم |
|---|---|---|---|---|
| 08/10/2026 | Command Injection | Struts | مرتفع 8.1 | 97% |
| 04/08/2026 | Missing Encryption of Sensitive Data | Tomcat | مرتفع 7.5 | 99% |
| 16/04/2026 | Improper Input Validation | ActiveMQ | مرتفع 8.8 | 98% |
| 01/05/2025 | Improper Escaping of Output | HTTP Server | حرجة 9.1 | >99.9% |
| 01/04/2025 | Path Equivalence | Tomcat | حرجة 10.0 | 99.9% |
| 04/02/2025 | Forced Browsing | OFBiz | حرجة 9.8 | >99.9% |
| 18/09/2024 | Improper Access Control | HugeGraph-Server | حرجة 9.8 | 99.2% |
| 27/08/2024 | Incorrect Authorization | OFBiz | مرتفع 8.1 | 99.4% |
المصادر: Known Exploited Vulnerabilities (CISA، ملكية عامة)، وCVE records (cve.org)، وEPSS (FIRST). احتمال الهجوم هو تقدير EPSS لاحتمال أن يحاول أحد استغلال الثغرة خلال الأيام الـ30 القادمة.