Iniciar sesión
Deutsch English Español Polski
Crítica

Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions

  • Publicada: 09.12.2024
  • Actualizado: 11.10.2026 13:19

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Apache Superset. Specifically, certain engine-specific functions are not checked, which allows attackers to bypass Apache Superset's SQL authorization. This issue is a follow-up to CVE-2024-39887 with additional disallowed PostgreSQL functions now included: query_to_xml_and_xmlschema, table_to_xml, table_to_xml_and_xmlschema.

This issue affects Apache Superset: <4.1.0.

Users are recommended to upgrade to version 4.1.0, which fixes the issue or add these Postgres functions to the config set DISALLOWED_SQL_FUNCTIONS.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) apache-superset < 4.1.0 4.1.0

Referencias

Puntuación CVSS 9.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-89
Plataforma
Python (PyPI)
Paquete
apache-superset
Publicada
09.12.2024
Actualizado
11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-92qf-8gh3-gwcm - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1165 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: apache-superset

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (66) en el archivo
Entradas en total
66
Primera → última
12.2019 02.2026
Sin corrección
1
Explotada en ataques
1

Distribución por gravedad

  • Crítica 3
  • Alta 14
  • Media 48
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Apache Superset Improper Authorization allows low-privileged users to bypass access controls
    Alta CVE-2026-23982 < 6.0.0 6.0.0
  2. Apache Superset: Read-Only Bypass via Improper Input Validation on PostgreSQL Connections
    Alta CVE-2026-23984 < 6.0.0 6.0.0
  3. Apache Superset: Improper authorization bypass on row level security via SQL Injection
    Alta CVE-2025-48912 < 4.1.2 4.1.2
  4. Apache Superset Allows Ownership Takeover
    Alta · 8.8 CVE-2025-27696 < 4.1.2 4.1.2
  5. Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions esta entrada
    Crítica · 9.8 CVE-2024-53947 < 4.1.0 4.1.0
  6. Cross-site Scripting in Apache superset
    Crítica · 9.6 CVE-2023-49657 < 3.0.3 3.0.3
  7. Apache Superset incorrect write permissions vulnerability
    Alta · 7.7 CVE-2023-49734 < 2.1.3, >= 3.0.0, < 3.0.2 2.1.3, 3.0.2
  8. Apache Superset - Elevation of Privilege
    Alta · 7.3 CVE-2023-40610 < 2.1.2 2.1.2
  9. Apache superset missing check for default SECRET_KEY
    Alta · 8.9 Explotada en ataques CVE-2023-27524 < 2.1.0 2.1.0
  10. Apache Superset vulnerable to Cross-Site Request Forgery via legacy REST API endpoints
    Alta · 8.8 CVE-2022-43719 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  11. Apache Superset before 1.4.2 is vulnerable to SQL injection in chart data requests. Users should update to 1.4.2 or higher which addresses this issue.
    Crítica · 9.8 CVE-2022-27479 < 1.4.2 1.4.2
  12. Apache Superset up to and including 1.3.2 allowed for registered database connections password leak for authenticated users. This information could be accessed in a non-trivial way. Users should upgra
    Alta · 6.5 CVE-2021-44451 < 1.4.0 1.4.0
  13. Improper output neutralization for Logs. A specific Apache Superset HTTP endpoint allowed for an authenticated user to forge log entries or inject malicious content into logs.
    Alta · 6.5 CVE-2021-42250 < 1.3.2 1.3.2
  14. Apache Superset up to and including 1.3.1 allowed for database connections password leak for authenticated users. This information could be accessed in a non-trivial way.
    Alta · 6.5 CVE-2021-41972 < 1.3.2 1.3.2
  15. Apache Superset up to and including 1.3.0 when configured with ENABLE_TEMPLATE_PROCESSING on (disabled by default) allowed SQL injection when a malicious authenticated user sends an http request with
    Alta · 8.8 CVE-2021-41971 < 1.3.1 1.3.1
  16. In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto database engines could access information via a number of templated
    Alta · 8.1 CVE-2020-13952 < 0.37.2 0.37.2
  17. While investigating a bug report on Apache Superset, it was determined that an authenticated user could craft requests via a number of templated text fields in the product that would allow arbitrary a
    Alta · 8.8 CVE-2020-13948 < 0.37.1 0.37.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.