Anmelden
Deutsch English Español Polski
Mittel

Apache Superset: Incomplete DISALLOWED_SQL_FUNCTIONS default list for ClickHouse engine

  • Veröffentlicht: 24.02.2026
  • Aktualisiert: 11.10.2026 14:17

Apache Superset utilizes a configurable dictionary, DISALLOWED_SQL_FUNCTIONS, to restrict the execution of potentially sensitive SQL functions within SQL Lab and charts. While this feature included restrictions for engines like PostgreSQL, a vulnerability was reported where the default list for the ClickHouse engine was incomplete.

This issue affects Apache Superset: before 4.1.2.

Users are recommended to upgrade to version 4.1.2, which fixes the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) apache-superset < 4.1.2 4.1.2

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Schwäche (CWE)
CWE-89
Plattform
Python (PyPI)
Paket
apache-superset
Veröffentlicht
24.02.2026
Aktualisiert
11.10.2026 14:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-48m2-v2r8-h23m - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2373 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: apache-superset

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (66) im Archiv
Einträge insgesamt
66
Erste → letzte
12.2019 02.2026
Ohne Fix
1
In Angriffen ausgenutzt
1

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 14
  • Mittel 48
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Superset Improper Authorization allows low-privileged users to bypass access controls
    Hoch CVE-2026-23982 < 6.0.0 6.0.0
  2. Apache Superset: Read-Only Bypass via Improper Input Validation on PostgreSQL Connections
    Hoch CVE-2026-23984 < 6.0.0 6.0.0
  3. Apache Superset: Incomplete DISALLOWED_SQL_FUNCTIONS default list for ClickHouse engine dieser Eintrag
    Mittel CVE-2026-23969 < 4.1.2 4.1.2
  4. Apache Superset: Improper authorization bypass on row level security via SQL Injection
    Hoch CVE-2025-48912 < 4.1.2 4.1.2
  5. Apache Superset Allows Ownership Takeover
    Hoch · 8.8 CVE-2025-27696 < 4.1.2 4.1.2
  6. Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions
    Kritisch · 9.8 CVE-2024-53947 < 4.1.0 4.1.0
  7. Cross-site Scripting in Apache superset
    Kritisch · 9.6 CVE-2023-49657 < 3.0.3 3.0.3
  8. Apache Superset incorrect write permissions vulnerability
    Hoch · 7.7 CVE-2023-49734 < 2.1.3, >= 3.0.0, < 3.0.2 2.1.3, 3.0.2
  9. Apache Superset - Elevation of Privilege
    Hoch · 7.3 CVE-2023-40610 < 2.1.2 2.1.2
  10. Apache superset missing check for default SECRET_KEY
    Hoch · 8.9 In Angriffen ausgenutzt CVE-2023-27524 < 2.1.0 2.1.0
  11. Apache Superset vulnerable to Cross-Site Request Forgery via legacy REST API endpoints
    Hoch · 8.8 CVE-2022-43719 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  12. Apache Superset before 1.4.2 is vulnerable to SQL injection in chart data requests. Users should update to 1.4.2 or higher which addresses this issue.
    Kritisch · 9.8 CVE-2022-27479 < 1.4.2 1.4.2
  13. Apache Superset up to and including 1.3.2 allowed for registered database connections password leak for authenticated users. This information could be accessed in a non-trivial way. Users should upgra
    Hoch · 6.5 CVE-2021-44451 < 1.4.0 1.4.0
  14. Improper output neutralization for Logs. A specific Apache Superset HTTP endpoint allowed for an authenticated user to forge log entries or inject malicious content into logs.
    Hoch · 6.5 CVE-2021-42250 < 1.3.2 1.3.2
  15. Apache Superset up to and including 1.3.1 allowed for database connections password leak for authenticated users. This information could be accessed in a non-trivial way.
    Hoch · 6.5 CVE-2021-41972 < 1.3.2 1.3.2
  16. Apache Superset up to and including 1.3.0 when configured with ENABLE_TEMPLATE_PROCESSING on (disabled by default) allowed SQL injection when a malicious authenticated user sends an http request with
    Hoch · 8.8 CVE-2021-41971 < 1.3.1 1.3.1
  17. In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto database engines could access information via a number of templated
    Hoch · 8.1 CVE-2020-13952 < 0.37.2 0.37.2
  18. While investigating a bug report on Apache Superset, it was determined that an authenticated user could craft requests via a number of templated text fields in the product that would allow arbitrary a
    Hoch · 8.8 CVE-2020-13948 < 0.37.1 0.37.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.