Anmelden
Deutsch English Español Polski
Mittel

Apache Superset's SQL Alchemy connector vulnerable to SQL Injection

  • Veröffentlicht: 16.01.2023
  • Aktualisiert: 11.10.2026 13:18

A vulnerability in the SQL Alchemy connector of Apache Superset allows an authenticated user with read access to a specific database to add subqueries to the WHERE and HAVING fields referencing tables on the same database that the user should not have access to, despite the user having the feature flag "ALLOW_ADHOC_SUBQUERY" disabled (default value). This issue affects Apache Superset version 1.5.2 and prior versions and version 2.0.0.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) apache-superset < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1

Verweise

CVSS-Wert 5.4/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE)
CWE-89
Plattform
Python (PyPI)
Paket
apache-superset
Veröffentlicht
16.01.2023
Aktualisiert
11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-cxvp-3frm-3876 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-780 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: apache-superset

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (66) im Archiv
Einträge insgesamt
66
Erste → letzte
12.2019 02.2026
Ohne Fix
1
In Angriffen ausgenutzt
1

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 14
  • Mittel 48
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Superset Improper Authorization allows low-privileged users to bypass access controls
    Hoch CVE-2026-23982 < 6.0.0 6.0.0
  2. Apache Superset: Read-Only Bypass via Improper Input Validation on PostgreSQL Connections
    Hoch CVE-2026-23984 < 6.0.0 6.0.0
  3. Apache Superset: Improper authorization bypass on row level security via SQL Injection
    Hoch CVE-2025-48912 < 4.1.2 4.1.2
  4. Apache Superset Allows Ownership Takeover
    Hoch · 8.8 CVE-2025-27696 < 4.1.2 4.1.2
  5. Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions
    Kritisch · 9.8 CVE-2024-53947 < 4.1.0 4.1.0
  6. Cross-site Scripting in Apache superset
    Kritisch · 9.6 CVE-2023-49657 < 3.0.3 3.0.3
  7. Apache Superset incorrect write permissions vulnerability
    Hoch · 7.7 CVE-2023-49734 < 2.1.3, >= 3.0.0, < 3.0.2 2.1.3, 3.0.2
  8. Apache Superset - Elevation of Privilege
    Hoch · 7.3 CVE-2023-40610 < 2.1.2 2.1.2
  9. Apache superset missing check for default SECRET_KEY
    Hoch · 8.9 In Angriffen ausgenutzt CVE-2023-27524 < 2.1.0 2.1.0
  10. Apache Superset vulnerable to Cross-Site Request Forgery via legacy REST API endpoints
    Hoch · 8.8 CVE-2022-43719 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  11. Apache Superset's SQL Alchemy connector vulnerable to SQL Injection dieser Eintrag
    Mittel · 5.4 CVE-2022-41703 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  12. Apache Superset before 1.4.2 is vulnerable to SQL injection in chart data requests. Users should update to 1.4.2 or higher which addresses this issue.
    Kritisch · 9.8 CVE-2022-27479 < 1.4.2 1.4.2
  13. Apache Superset up to and including 1.3.2 allowed for registered database connections password leak for authenticated users. This information could be accessed in a non-trivial way. Users should upgra
    Hoch · 6.5 CVE-2021-44451 < 1.4.0 1.4.0
  14. Improper output neutralization for Logs. A specific Apache Superset HTTP endpoint allowed for an authenticated user to forge log entries or inject malicious content into logs.
    Hoch · 6.5 CVE-2021-42250 < 1.3.2 1.3.2
  15. Apache Superset up to and including 1.3.1 allowed for database connections password leak for authenticated users. This information could be accessed in a non-trivial way.
    Hoch · 6.5 CVE-2021-41972 < 1.3.2 1.3.2
  16. Apache Superset up to and including 1.3.0 when configured with ENABLE_TEMPLATE_PROCESSING on (disabled by default) allowed SQL injection when a malicious authenticated user sends an http request with
    Hoch · 8.8 CVE-2021-41971 < 1.3.1 1.3.1
  17. In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto database engines could access information via a number of templated
    Hoch · 8.1 CVE-2020-13952 < 0.37.2 0.37.2
  18. While investigating a bug report on Apache Superset, it was determined that an authenticated user could craft requests via a number of templated text fields in the product that would allow arbitrary a
    Hoch · 8.8 CVE-2020-13948 < 0.37.1 0.37.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.