Apache Airflow vulnerable to sensitive information exposure when expose-config is set to non-sensitive-only

TRUNG BÌNH 4.3CVE-2023-45348 · BIT-airflow-2023-45348 · GHSA-fpxx-xv4c-gxqp · Công bố 14/10/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-45348 là lỗ hổng mức TRUNG BÌNH (CVSS 4.3) ảnh hưởng apache-airflow, airflow (apache).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.6%, cao hơn 75.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.7.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
apache-airflow PyPI	`≥ 2.7.0, < 2.7.2`	`2.7.2`
airflow apache	`≥ 2.7.0, < 2.7.2`	`2.7.2`

Mô tả

Apache Airflow, versions 2.7.0 and 2.7.1, is affected by a vulnerability that allows an authenticated user to retrieve sensitive configuration information when the expose_config option is set to non-sensitive-only. The expose_config option is False by default. It is recommended to upgrade to a version that is not affected.

Mô tả của NVD

Apache Airflow, versions 2.7.0 and 2.7.1, is affected by a vulnerability that allows an authenticated user to retrieve sensitive configuration information when the "expose_config" option is set to "non-sensitive-only". The `expose_config` option is False by default. It is recommended to upgrade to a version that is not affected.