Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions

緊急 9.8CVE-2024-53947 · BIT-superset-2024-53947 · GHSA-92qf-8gh3-gwcm · 09/12/2024 公開 · 17/06/2026 更新

要点

CVE-2024-53947 は apache-superset, superset (apache) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.84%（全脆弱性の 57.8% より高い）。
対処：4.1.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
apache-superset PyPI	`< 4.1.0`	`4.1.0`
superset apache	`< 4.1.0`	`4.1.0`

概要

This issue affects Apache Superset: <4.1.0.

Users are recommended to upgrade to version 4.1.0, which fixes the issue or add these Postgres functions to the config set DISALLOWED_SQL_FUNCTIONS.

NVD の説明

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Apache Superset. Specifically, certain engine-specific functions are not checked, which allows attackers to bypass Apache Superset's SQL authorization. This issue is a follow-up to CVE-2024-39887 with additional disallowed PostgreSQL functions now included: query_to_xml_and_xmlschema, table_to_xml, table_to_xml_and_xmlschema. This issue affects Apache Superset: <4.1.0. Users are recommended to upgrade to version 4.1.0, which fixes the issue or add these Postgres functions to the config set DISALLOWED_SQL_FUNCTIONS.