Iniciar sesión
Deutsch English Español Polski
Media

Apache Superset has bypass of `DISALLOWED_SQL_FUNCTIONS` that allows execution of blocked SQL functions

  • Publicada: 14.08.2025
  • Actualizado: 11.10.2026 13:18

A bypass of the DISALLOWED_SQL_FUNCTIONS security feature in Apache Superset allows for the execution of blocked SQL functions. An attacker can use a special inline block to circumvent the denylist. This allows a user with SQL Lab access to execute functions that were intended to be disabled, leading to the disclosure of sensitive database information like the software version.

This issue affects Apache Superset: before 5.0.0.

Users are recommended to upgrade to version 5.0.0, which fixes the issue.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) apache-superset < 5.0.0 5.0.0

Referencias

Puntuación CVSS -
Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Debilidad (CWE)
CWE-89
Plataforma
Python (PyPI)
Paquete
apache-superset
Publicada
14.08.2025
Actualizado
11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-fxgf-3xh6-m2pp - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1178 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: apache-superset

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (66) en el archivo
Entradas en total
66
Primera → última
12.2019 02.2026
Sin corrección
1
Explotada en ataques
1

Distribución por gravedad

  • Crítica 3
  • Alta 14
  • Media 48
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Apache Superset Improper Authorization allows low-privileged users to bypass access controls
    Alta CVE-2026-23982 < 6.0.0 6.0.0
  2. Apache Superset: Read-Only Bypass via Improper Input Validation on PostgreSQL Connections
    Alta CVE-2026-23984 < 6.0.0 6.0.0
  3. Apache Superset has bypass of `DISALLOWED_SQL_FUNCTIONS` that allows execution of blocked SQL functions esta entrada
    Media CVE-2025-55674 < 5.0.0 5.0.0
  4. Apache Superset: Improper authorization bypass on row level security via SQL Injection
    Alta CVE-2025-48912 < 4.1.2 4.1.2
  5. Apache Superset Allows Ownership Takeover
    Alta · 8.8 CVE-2025-27696 < 4.1.2 4.1.2
  6. Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions
    Crítica · 9.8 CVE-2024-53947 < 4.1.0 4.1.0
  7. Cross-site Scripting in Apache superset
    Crítica · 9.6 CVE-2023-49657 < 3.0.3 3.0.3
  8. Apache Superset incorrect write permissions vulnerability
    Alta · 7.7 CVE-2023-49734 < 2.1.3, >= 3.0.0, < 3.0.2 2.1.3, 3.0.2
  9. Apache Superset - Elevation of Privilege
    Alta · 7.3 CVE-2023-40610 < 2.1.2 2.1.2
  10. Apache superset missing check for default SECRET_KEY
    Alta · 8.9 Explotada en ataques CVE-2023-27524 < 2.1.0 2.1.0
  11. Apache Superset vulnerable to Cross-Site Request Forgery via legacy REST API endpoints
    Alta · 8.8 CVE-2022-43719 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  12. Apache Superset before 1.4.2 is vulnerable to SQL injection in chart data requests. Users should update to 1.4.2 or higher which addresses this issue.
    Crítica · 9.8 CVE-2022-27479 < 1.4.2 1.4.2
  13. Apache Superset up to and including 1.3.2 allowed for registered database connections password leak for authenticated users. This information could be accessed in a non-trivial way. Users should upgra
    Alta · 6.5 CVE-2021-44451 < 1.4.0 1.4.0
  14. Improper output neutralization for Logs. A specific Apache Superset HTTP endpoint allowed for an authenticated user to forge log entries or inject malicious content into logs.
    Alta · 6.5 CVE-2021-42250 < 1.3.2 1.3.2
  15. Apache Superset up to and including 1.3.1 allowed for database connections password leak for authenticated users. This information could be accessed in a non-trivial way.
    Alta · 6.5 CVE-2021-41972 < 1.3.2 1.3.2
  16. Apache Superset up to and including 1.3.0 when configured with ENABLE_TEMPLATE_PROCESSING on (disabled by default) allowed SQL injection when a malicious authenticated user sends an http request with
    Alta · 8.8 CVE-2021-41971 < 1.3.1 1.3.1
  17. In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto database engines could access information via a number of templated
    Alta · 8.1 CVE-2020-13952 < 0.37.2 0.37.2
  18. While investigating a bug report on Apache Superset, it was determined that an authenticated user could craft requests via a number of templated text fields in the product that would allow arbitrary a
    Alta · 8.8 CVE-2020-13948 < 0.37.1 0.37.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.