Apache Airflow's Experimental API Authentication Bypass — The previous default setting for Airflow's Experimental API was to allow all API requests without authentication.
Apache Airflow versions prior to 1.10.12 had an authentication bypass vulnerability in the Experimental API that allowed unauthenticated access to all API endpoints by default. This critical flaw could enable attackers to execute arbitrary code, modify workflows, and access sensitive data without any credentials.
تحتوي نسخ Apache Airflow السابقة على إعدادات افتراضية غير آمنة تسمح بالوصول الكامل إلى واجهة API التجريبية دون مصادقة. يمكن للمهاجمين استغلال هذه الثغرة لتنفيذ أوامر عشوائية وتعديل سير العمل والوصول إلى البيانات الحساسة.
Apache Airflow versions before 1.10.12 contained a critical authentication bypass in the Experimental API allowing unrestricted unauthenticated access to all endpoints. Attackers could exploit this to execute code, alter workflows, and steal sensitive information without authentication.
Upgrade Apache Airflow to version 1.10.12 or later immediately. Disable the Experimental API if not required. Implement network-level access controls to restrict API access. Enable authentication for all API endpoints. Review and audit all API access logs for unauthorized activity.
قم بترقية Apache Airflow إلى الإصدار 1.10.12 أو أحدث فوراً. عطّل واجهة API التجريبية إذا لم تكن مطلوبة. طبّق عناصر تحكم على مستوى الشبكة لتقييد الوصول. فعّل المصادقة لجميع نقاط نهاية API. راجع سجلات الوصول للكشف عن أي نشاط غير مصرح.