Apache · Airflow's Experimental API
CVE-2020-13927
Apache Airflow's Experimental API Authentication Bypass
这是什么
The previous default setting for Airflow's Experimental API was to allow all API requests without authentication, but this poses security risks to users who miss this fact. From Airflow 1.10.11 the default has been changed to deny all requests by default and is documented at https://airflow.apache.org/docs/1.10.11/security.html#api-authentication. Note this change fixes it for new installs but existing users need to change their config to default `[api]auth_backend = airflow.api.auth.backend.deny_all` as mentioned in the Updating Guide: https://github.com/apache/airflow/blob/1.10.11/UPDATING.md#experimental-api-will-deny-all-request-by-default
CISA: The previous default setting for Airflow's Experimental API was to allow all API requests without authentication.
该怎么做
Apply updates per vendor instructions.
美国联邦机构的修复期限：2022年7月18日
- 加入 CISA 列表
- 2022年1月18日
- 发布日期
- 2020年11月10日
- 严重程度
- 严重 9.8 CVSS 3.1
- 未来 30 天遭受攻击的概率（EPSS）
- 99.8% 位列所有已知漏洞的前 0.1%
- 弱点类型
- CWE-1188 CWE-306
- 更多详情
- NVD · CVE.org · CISA
全部参考链接（3）
Apache 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2026年10月8日 | Command Injection | Struts | 高 8.1 | 97% |
| 2026年8月4日 | Missing Encryption of Sensitive Data | Tomcat | 高 7.5 | 99% |
| 2026年4月16日 | Improper Input Validation | ActiveMQ | 高 8.8 | 98% |
| 2025年5月1日 | Improper Escaping of Output | HTTP Server | 严重 9.1 | >99.9% |
| 2025年4月1日 | Path Equivalence | Tomcat | 严重 10.0 | 99.9% |
| 2025年2月4日 | Forced Browsing | OFBiz | 严重 9.8 | >99.9% |
| 2024年9月18日 | Improper Access Control | HugeGraph-Server | 严重 9.8 | 99.2% |
| 2024年8月27日 | Incorrect Authorization | OFBiz | 高 8.1 | 99.4% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。