Apache Airflow
- Loại hình phần mềm
- Nền tảng điều phối
- Sản phẩm & Dịch vụSản phẩm & Dịch vụ
- Giải phápGiải pháp
- Bảng giáBảng giá
- Công tyCông ty
- Tài liệuTài liệu
vi
vi
Tính đến 13/11/2026, Apache Airflow ghi nhận 21 lỗ hổng bảo mật trong 90 ngày gần nhất, trong đó 3 lỗ hổng ở mức độ nghiêm trọng Cao trở lên. Trong số này chưa có lỗ hổng nào đang bị khai thác tích cực (KEV) theo danh mục của CISA. CyStack khuyến nghị các tổ chức và người dùng cá nhân thực hiện vá lỗi càng sớm càng tốt.
CyStack chưa có đủ dữ liệu nguồn chính thức để xác định phiên bản mới nhất của Apache Airflow và đối chiếu lỗ hổng riêng cho phiên bản đó.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
CVE-2026-96285Apache Airflow: Scheduler: next_kwargs deserialized before the dict check, so resume data still invokes constructorsCVE-2026-86829Apache Airflow: Deserialization of task-controlled XCom values in the Scheduler during dependency evaluationCVE-2026-86468Apache Airflow: CLI argv masking misses Variable values and --conn-extra, persisting secrets in audit logsCVE-2026-82337Apache Airflow: DeadlineAlert fields bypass plugin-registration gate for scheduler-side deserializationCVE-2026-68982Apache Airflow: CeleryExecutor: forged callback workloads run on Celery workers without workload-token validation| Lỗ hổng | Tình trạng khai thác | Bản vá | Ngày phát hành | Mức độ nghiêm trọng |
|---|---|---|---|---|
CVE-2026-96285Apache Airflow: Scheduler: next_kwargs deserialized before the dict check, so resume data still invokes constructors | Tình trạng khai thácChưa xác nhận | Bản váCó |
| Mức độ nghiêm trọngChưa rõ |
CVE-2026-86829Apache Airflow: Deserialization of task-controlled XCom values in the Scheduler during dependency evaluation | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-86468Apache Airflow: CLI argv masking misses Variable values and --conn-extra, persisting secrets in audit logs | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-82337Apache Airflow: DeadlineAlert fields bypass plugin-registration gate for scheduler-side deserialization | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-68982Apache Airflow: CeleryExecutor: forged callback workloads run on Celery workers without workload-token validation | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-50204Apache Airflow: Audit-log secrets masker redacts by key name only, persisting connection and Variable secrets in cleartext | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-40913Apache Airflow: Import Errors API Leaks Unauthorized DAG Stack Traces via Incomplete Per-File RBAC Enforcement | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-113508Apache Airflow: Logout token revocation fails open; errors silently swallowed | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-113504Apache Airflow: Secrets masker: pattern-based masking bounded at depth 5 returns deeply-nested registered secrets in cleartext | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-111455Apache Airflow: Connections API: async connection test authorizes create at enqueue but overwrites a later-created connection at commit | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-111454Apache Airflow: API: asset endpoints return scheduled/producing/consuming Dag IDs the caller cannot read | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-111453Apache Airflow: API: asset queuedEvents DELETE checks Dag edit on a ?dag_id query value but deletes rows for every readable Dag | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-111452Apache Airflow: Secrets masker: camelCase key names (privateKey, connectionString, webhookUrl) not matched against the sensitive-field list | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-111421Apache Airflow: Execution API: set_xcom skips the reserved-key check, so task-written XComs instantiate airflow.* classes on the API server | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-111395Apache Airflow: Reserved serialization keys in Dag run conf crash the scheduler or are rebuilt as objects in the Triggerer via deadline callbacks | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-107474Apache Airflow: Connections API: apprise connection "config" extra returned in cleartext | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-101031Apache Airflow: Shell command injection in the example_dag_decorator example Dag via an IPv6 zone identifier | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành09/11/2026 | Mức độ nghiêm trọngChưa rõ |
|---|
CVE-2026-86473Apache Software Foundation's Apache Airflow bearer-token logout flaw leaves sessions valid | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
CVE-2026-82355Apache Software Foundation Apache Airflow session fixation causes principal confusion | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-75158Apache Airflow: Assets events API returns asset events for every Dag with no per-Dag authorization filter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-75157Apache Airflow: Asset queued-events DELETE endpoints gated on Dag READ instead of Dag EDIT (asset-triggered scheduling suppression) | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành18/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-68971Apache Airflow: Cross-team authorization bypass in the asset materialization and dag-run result endpoints | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-68970Apache Airflow: Values of a list-shaped Variable are not masked in task logs and the Rendered Templates UI | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-68969Apache Airflow: Bulk Variable and Connection endpoints record secret values in the audit log in cleartext | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-68968Apache Airflow: Authorization bypass in the Backfill API through conflicting interpretations of the backfill id | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-68076Apache Airflow: Connections test API: team-scope guard bypass resolves another team's environment Connection | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-67587Apache Airflow: DAG-author remote code execution on the Scheduler via a Serde `Callback` deserialization gadget | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-67260Apache Airflow scheduler arbitrary code execution via awaiting_input deserialization | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-65017Apache Airflow: Config API: team-scoped Celery broker secret disclosed to a Viewer (multi-team masking bypass) | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-59244Apache Airflow: Secrets masker: `var.json` Variable values not masked in the Rendered Templates UI | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-59242Apache Airflow: Arbitrary airflow.* class instantiation on the API server via the XCom deserialize endpoint | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-58076Apache Airflow: Unguarded import_string() of airflow_exc_ser / base_exc_ser exception nodes in BaseSerialization.deserialize enables DAG-author RCE on Scheduler / API Server | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-54183Apache Airflow: Airflow Variables were not masked in the UI for authenticated users | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-49487Apache Airflow: Task-instance API exposes secrets in deferred trigger kwargs | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành07/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-49296Apache Airflow: Per-DAG read bypass discloses co-located DAGs' source via GET /api/v2/dagSources/{dag_id} | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành07/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-48892Apache Airflow: Config API leaks per-key secrets backend kwargs - masker bypass on synthetic options | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành07/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-48891Apache Airflow: /ui/dependencies scheduling graph leaks unreadable Dag identifiers via trigger/sensor dep.source/dep.target | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành07/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-48828Apache Airflow: Bulk JSON Variables bypass should_hide_value_for_key - redact() called without the key | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành07/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-33264Apache Airflow: DAG author RCE on webserver via unrestricted import_string() in BaseSerialization.deserialize() | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành07/07/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
CVE-2026-49298Apache Airflow: JWT Token Exposure in KubernetesExecutor Command-Line Arguments | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-49267Apache Airflow: No certificate validation on SMTP STARTTLS connections | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-48726Apache Airflow: revoke_token() unreachable in FabAuthManager / KeycloakAuthManager logout path | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-46764Apache Airflow: Event Log detail endpoint bypasses DAG-scoped event log permission filter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-45426Apache Airflow: Log server JWT authorization bypass via Python lstrip() character stripping allows cross-Dag log access | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngThấp |
|---|
CVE-2026-45360Apache Airflow: Arbitrary import in custom deadline-reference deserialization | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-45192Apache Airflow: Incomplete Redaction of Sensitive Fields in Connection Extra API Response | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-42360Apache Airflow: Rendered template truncation bypasses nested sensitive-key masking | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-42359Apache Airflow: Authenticated RCE via XCom PATCH endpoint — XComUpdateBody missing FORBIDDEN_XCOM_KEYS validator | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-42358Apache Airflow: Variable masker depth-limit bypass returns cleartext nested secrets | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-42252Apache Airflow: BashOperator Jinja2 injection via dag_run.conf — low-privilege user pattern | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành01/06/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
120 Kết quả | Trang 1 trên 3