Media

Datasette 1.0 alpha series leaks names of databases and tables to unauthenticated users

Publicada: 22.08.2023
Actualizado: 11.10.2026 12:19

Impact

This bug affects Datasette instances running a Datasette 1.0 alpha - 1.0a0, 1.0a1, 1.0a2 or 1.0a3 - in an online accessible location but with authentication enabled using a plugin such as datasette-auth-passwords.

The /-/api API explorer endpoint could reveal the names of both databases and tables - but not their contents - to an unauthenticated user.

Patches

Datasette 1.0a4 has a fix for this issue.

Workarounds

To work around this issue, block all traffic to the /-/api endpoint. This can be done with a proxy such as Apache or NGINX, or by installing the datasette-block plugin and adding the following configuration to your metadata.json or metadata.yml file:

{
    "plugins": {
        "datasette-block": {
            "prefixes": ["/-/api"]
        }
    }
}

This will block access to the API explorer but will still allow access to the Datasette read or write JSON APIs, as those use different URL patterns within the Datasette /database hierarchy.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	datasette	>= 1.0a0, < 1.0a4	1.0a4

Referencias

Puntuación CVSS 5.3/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE): CWE-200, CWE-213
Plataforma: Python (PyPI)
Paquete: datasette
Publicada: 22.08.2023
Actualizado: 11.10.2026 12:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2023-154 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-7ch3-7pp7-7cpq - CC BY 4.0

Historial de vulnerabilidades: datasette

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 4
Primera → última: 08.2020 11.2025
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Media 3
Baja 1

Divulgaciones por año

2020: 1
2021: 1
2022: 0
2023: 1
2024: 0
2025: 1
2026: 0

06.11.2025

Open redirect endpoint in Datasette

Baja CVE-2025-64481 < 0.65.2, >= 1.0a0, < 1.0a21 0.65.2, 1.0a21
22.08.2023

Datasette 1.0 alpha series leaks names of databases and tables to unauthenticated users esta entrada

Media · 5.3 CVE-2023-40570 >= 1.0a0, < 1.0a4 1.0a4
07.06.2021

Reflected cross-site scripting issue in Datasette

Media · 7.2 CVE-2021-32670 < 0.56.1 0.56.1
11.08.2020

CSRF tokens leaked in URL by canned query form

Media · 4.3 ghsa-q6j3-c4wc-63vw < 0.46 0.46

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación