Zaloguj się
Deutsch English Español Polski
Krytyczna

Cross-site Scripting in Apache superset

  • Ujawniono: 23.01.2024
  • Aktualizacja: 11.10.2026 12:20

A stored cross-site scripting (XSS) vulnerability exists in Apache Superset before 3.0.3. An authenticated attacker with create/update permissions on charts or dashboards could store a script or add a specific HTML snippet that would act as a stored XSS.

For 2.X versions, users should change their config to include:

TALISMAN_CONFIG = {     "content_security_policy": {         "base-uri" : ["'self'"],         "default-src": ["'self'"],         "img-src": ["'self'", "blob:", "data:"],         "worker-src": ["'self'", "blob:"],         "connect-src": [             "'self'",             " https://api.mapbox.com" https://api.mapbox.com" ;,             " https://events.mapbox.com" https://events.mapbox.com" ;,         ],         "object-src": "'none'",         "style-src": [             "'self'",             "'unsafe-inline'",         ],         "script-src": ["'self'", "'strict-dynamic'"],     },     "content_security_policy_nonce_in": ["script-src"],     "force_https": False,     "session_cookie_secure" : False, }

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) apache-superset < 3.0.3 3.0.3

Odnośniki

Ocena CVSS 9.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
Słabość (CWE)
CWE-79
Platforma
Python (PyPI)
Paczka
apache-superset
Ujawniono
23.01.2024
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-rwhh-6x83-84v6 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-280 - PyPA Advisory Database; CC BY 4.0

Historia podatności: apache-superset

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (66) w archiwum
Wszystkich wpisów
66
Pierwsza → ostatnia
12.2019 02.2026
Bez poprawki
1
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 3
  • Wysoka 14
  • Średnia 48
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Superset Improper Authorization allows low-privileged users to bypass access controls
    Wysoka CVE-2026-23982 < 6.0.0 6.0.0
  2. Apache Superset: Read-Only Bypass via Improper Input Validation on PostgreSQL Connections
    Wysoka CVE-2026-23984 < 6.0.0 6.0.0
  3. Apache Superset: Improper authorization bypass on row level security via SQL Injection
    Wysoka CVE-2025-48912 < 4.1.2 4.1.2
  4. Apache Superset Allows Ownership Takeover
    Wysoka · 8.8 CVE-2025-27696 < 4.1.2 4.1.2
  5. Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions
    Krytyczna · 9.8 CVE-2024-53947 < 4.1.0 4.1.0
  6. Cross-site Scripting in Apache superset ten wpis
    Krytyczna · 9.6 CVE-2023-49657 < 3.0.3 3.0.3
  7. Apache Superset incorrect write permissions vulnerability
    Wysoka · 7.7 CVE-2023-49734 < 2.1.3, >= 3.0.0, < 3.0.2 2.1.3, 3.0.2
  8. Apache Superset - Elevation of Privilege
    Wysoka · 7.3 CVE-2023-40610 < 2.1.2 2.1.2
  9. Apache superset missing check for default SECRET_KEY
    Wysoka · 8.9 Wykorzystywana w atakach CVE-2023-27524 < 2.1.0 2.1.0
  10. Apache Superset vulnerable to Cross-Site Request Forgery via legacy REST API endpoints
    Wysoka · 8.8 CVE-2022-43719 < 1.5.3, >= 2.0.0, < 2.0.1 1.5.3, 2.0.1
  11. Apache Superset before 1.4.2 is vulnerable to SQL injection in chart data requests. Users should update to 1.4.2 or higher which addresses this issue.
    Krytyczna · 9.8 CVE-2022-27479 < 1.4.2 1.4.2
  12. Apache Superset up to and including 1.3.2 allowed for registered database connections password leak for authenticated users. This information could be accessed in a non-trivial way. Users should upgra
    Wysoka · 6.5 CVE-2021-44451 < 1.4.0 1.4.0
  13. Improper output neutralization for Logs. A specific Apache Superset HTTP endpoint allowed for an authenticated user to forge log entries or inject malicious content into logs.
    Wysoka · 6.5 CVE-2021-42250 < 1.3.2 1.3.2
  14. Apache Superset up to and including 1.3.1 allowed for database connections password leak for authenticated users. This information could be accessed in a non-trivial way.
    Wysoka · 6.5 CVE-2021-41972 < 1.3.2 1.3.2
  15. Apache Superset up to and including 1.3.0 when configured with ENABLE_TEMPLATE_PROCESSING on (disabled by default) allowed SQL injection when a malicious authenticated user sends an http request with
    Wysoka · 8.8 CVE-2021-41971 < 1.3.1 1.3.1
  16. In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto database engines could access information via a number of templated
    Wysoka · 8.1 CVE-2020-13952 < 0.37.2 0.37.2
  17. While investigating a bug report on Apache Superset, it was determined that an authenticated user could craft requests via a number of templated text fields in the product that would allow arbitrary a
    Wysoka · 8.8 CVE-2020-13948 < 0.37.1 0.37.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.