Apache · Airflow
CVE-2020-11978
Apache Airflow Command Injection
Was es ist
An issue was found in Apache Airflow versions 1.10.10 and below. A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow which would allow any authenticated user to run arbitrary commands as the user running airflow worker/scheduler (depending on the executor in use). If you already have examples disabled by setting load_examples=False in the config then you are not vulnerable.
CISA: A remote code/command injection vulnerability was discovered in one of the example DAGs shipped with Airflow.
Was zu tun ist
Apply updates per vendor instructions.
Frist für US-Bundesbehörden: 18. Juli 2022
- Zur CISA-Liste hinzugefügt
- 18. Januar 2022
- Veröffentlicht
- 16. Juli 2020
- Schweregrad
- Hoch 8,8 CVSS 3.1
- Wahrscheinlichkeit von Angriffen in den nächsten 30 Tagen (EPSS)
- 99,2% unter den obersten 0,1% aller bekannten Schwachstellen
- Schwachstellentyp
- CWE-78
- Mehr Details
- NVD · CVE.org · CISA
Alle Quellen (3)
Weitere ausgenutzte Schwachstellen von Apache
| Hinzugefügt | Schwachstelle | Produkt | Schweregrad | Angriffswahrscheinlichkeit |
|---|---|---|---|---|
| 08.10.2026 | Command Injection | Struts | Hoch 8,1 | 97% |
| 04.08.2026 | Missing Encryption of Sensitive Data | Tomcat | Hoch 7,5 | 99% |
| 16.04.2026 | Improper Input Validation | ActiveMQ | Hoch 8,8 | 98% |
| 01.05.2025 | Improper Escaping of Output | HTTP Server | Kritisch 9,1 | >99,9% |
| 01.04.2025 | Path Equivalence | Tomcat | Kritisch 10,0 | 99,9% |
| 04.02.2025 | Forced Browsing | OFBiz | Kritisch 9,8 | >99,9% |
| 18.09.2024 | Improper Access Control | HugeGraph-Server | Kritisch 9,8 | 99,2% |
| 27.08.2024 | Incorrect Authorization | OFBiz | Hoch 8,1 | 99,4% |
Quellen: Known Exploited Vulnerabilities (CISA, gemeinfrei), CVE records (cve.org) und EPSS (FIRST). Die Angriffswahrscheinlichkeit ist die EPSS-Schätzung, dass jemand in den nächsten 30 Tagen versucht, die Schwachstelle auszunutzen.