Iniciar sesión
Deutsch English Español Polski
Media

Apache Superset Deserialization of Untrusted Data vulnerability

  • Publicada: 06.09.2023
  • Actualizado: 11.10.2026 13:18

If an attacker gains write access to the Apache Superset metadata database, they could persist a specifically crafted Python object that may lead to remote code execution on Superset's web backend. The Superset metadata db is an 'internal' component that is typically only accessible directly by the system administrator and the superset process itself. Gaining access to that database should be difficult and require significant privileges. This vulnerability impacts Apache Superset versions 1.5.0 up to and including 2.1.0. Users are recommended to upgrade to version 2.1.1 or later.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) apache-superset >= 1.5.0, < 2.1.1 2.1.1

Referencias

Puntuación CVSS 6.6/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-502
Plataforma
Python (PyPI)
Paquete
apache-superset
Publicada
06.09.2023
Actualizado
11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-fj4x-m62j-wvwg - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1175 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: apache-superset

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (66) en el archivo
Entradas en total
66
Primera → última
12.2019 02.2026
Sin corrección
1
Explotada en ataques
1

Distribución por gravedad

  • Crítica 3
  • Alta 14
  • Media 48
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Apache Superset Improper Authorization allows low-privileged users to bypass access controls
    Alta CVE-2026-23982 < 6.0.0 6.0.0
  2. Apache Superset: Read-Only Bypass via Improper Input Validation on PostgreSQL Connections
    Alta CVE-2026-23984 < 6.0.0 6.0.0
  3. Apache Superset: Improper authorization bypass on row level security via SQL Injection
    Alta CVE-2025-48912 < 4.1.2 4.1.2
  4. Apache Superset Allows Ownership Takeover
    Alta · 8.8 CVE-2025-27696 < 4.1.2 4.1.2
  5. Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions
    Crítica · 9.8 CVE-2024-53947 < 4.1.0 4.1.0
  6. Cross-site Scripting in Apache superset
    Crítica · 9.6 CVE-2023-49657 < 3.0.3 3.0.3
  7. Apache Superset incorrect write permissions vulnerability
    Alta · 7.7 CVE-2023-49734 < 2.1.3, >= 3.0.0, < 3.0.2 2.1.3, 3.0.2
  8. Apache Superset - Elevation of Privilege
    Alta · 7.3 CVE-2023-40610 < 2.1.2 2.1.2
  9. Apache Superset Deserialization of Untrusted Data vulnerability esta entrada
    Media · 6.6 CVE-2023-37941 >= 1.5.0, < 2.1.1 2.1.1
  10. Apache superset missing check for default SECRET_KEY
    Alta · 8.9 Explotada en ataques CVE-2023-27524 < 2.1.0 2.1.0
  11. Apache Superset vulnerable to Cross-Site Request Forgery via legacy REST API endpoints
    Alta · 8.8 CVE-2022-43719 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  12. Apache Superset before 1.4.2 is vulnerable to SQL injection in chart data requests. Users should update to 1.4.2 or higher which addresses this issue.
    Crítica · 9.8 CVE-2022-27479 < 1.4.2 1.4.2
  13. Apache Superset up to and including 1.3.2 allowed for registered database connections password leak for authenticated users. This information could be accessed in a non-trivial way. Users should upgra
    Alta · 6.5 CVE-2021-44451 < 1.4.0 1.4.0
  14. Improper output neutralization for Logs. A specific Apache Superset HTTP endpoint allowed for an authenticated user to forge log entries or inject malicious content into logs.
    Alta · 6.5 CVE-2021-42250 < 1.3.2 1.3.2
  15. Apache Superset up to and including 1.3.1 allowed for database connections password leak for authenticated users. This information could be accessed in a non-trivial way.
    Alta · 6.5 CVE-2021-41972 < 1.3.2 1.3.2
  16. Apache Superset up to and including 1.3.0 when configured with ENABLE_TEMPLATE_PROCESSING on (disabled by default) allowed SQL injection when a malicious authenticated user sends an http request with
    Alta · 8.8 CVE-2021-41971 < 1.3.1 1.3.1
  17. In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto database engines could access information via a number of templated
    Alta · 8.1 CVE-2020-13952 < 0.37.2 0.37.2
  18. While investigating a bug report on Apache Superset, it was determined that an authenticated user could craft requests via a number of templated text fields in the product that would allow arbitrary a
    Alta · 8.8 CVE-2020-13948 < 0.37.1 0.37.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.