CVE-2020-17526

lowPriorität · verfolgen · 39OT-Risiko · erhöhtEPSS 0.239 · 98. PerzentilEURUUS

grimoire priorityP1 · Urgent

Exploitable?

—

no known exploitation

Likely / severe?

23.9% (98th) EPSS

CVSS 3.5 · low

Is it mine?

7 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

Incorrect Session Validation in Apache Airflow Webserver versions prior to 1.10.14 with default config allows a malicious airflow user on site A where they log in normally, to access unauthorized Airflow Webserver on Site B through the session from Site A. This does not affect users who have changed the default value for `[webserver] secret_key` config.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.7

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–high · 3.5–7.7

v2.03.5lowAV:N/AC:M/Au:S/C:P/I:N/A:Nprimary · NVD / NIST USAusnutzbarkeit 6.8 · Auswirkung 2.9

v3.17.7highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:Nprimary · NVD / NIST USAusnutzbarkeit 3.1 · Auswirkung 4

v3.17.7highAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:Nsecondary · FSTEC (BDU) RU

v3.17.7highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:Nsecondary · OSV

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N/E:Fsecondary · CVSS-BT (t0sche)

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-269USCWE-269USCWE-287USCWE-798US

betroffene Produkte (7)

Betroffene Produkte und Versionsbereiche.

Apache Software Foundation Apache AirflowApache Airflow → 1.10.14enisa_euvdEU
Apache Software Foundation Airflow≤ 1.10.14fstec_bduRU
Fortinet Inc. FortiAnalyzer6.4.0 → 6.4.7fstec_bduRU
Fortinet Inc. FortiAnalyzer7.0.0 → 7.0.2fstec_bduRU
apache airflow< 1.10.14nvdUScpe:2.3:a:apache:airflow:*:*:*:*:*:*:*:*
Bitnami airflow< 1.10.14osvUSpkg:bitnami/airflow
PyPI apache-airflow< 1.10.14osvUSpkg:pypi/apache-airflow

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-7mx5-x372-xh87Incorrect Session Validation in Apache Airflow2021-04-20ghsa · osvUS
Incorrect Session Validation in Apache Airflow Webserver versions prior to 1.10.14 with default config allows a malicious airflow user on site A where they log in normally, to access unauthorized Airflow Webserver on Site B through the session from Site A. This does not affect users who have changed the default value for `[webserver] secret_key` config.
BIT-airflow-2020-175262024-03-06vendor · osvUS
Incorrect Session Validation in Apache Airflow Webserver versions prior to 1.10.14 with default config allows a malicious airflow user on site A where they log in normally, to access unauthorized Airflow Webserver on Site B through the session from Site A. This does not affect users who have changed the default value for `[webserver] secret_key` config.
PYSEC-2020-222020-12-21vendor · osvUS
Incorrect Session Validation in Apache Airflow Webserver versions prior to 1.10.14 with default config allows a malicious airflow user on site A where they log in normally, to access unauthorized Airflow Webserver on Site B through the session from Site A. This does not affect users who have changed the default value for `[webserver] secret_key` config.

auch bekannt als (9)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv nvd NVD CVE.org MITRE

veröffentlicht 2020-12-21geändert 2026-06-17

Referenzen (12)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan