Apache Superset: Improper SQL authorisation, parse not checking for specific postgres functions

NGHIÊM TRỌNG 9.8CVE-2024-53947 · BIT-superset-2024-53947 · GHSA-92qf-8gh3-gwcm · Công bố 09/12/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-53947 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng apache-superset, superset (apache).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.84%, cao hơn 57.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.1.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
apache-superset PyPI	`< 4.1.0`	`4.1.0`
superset apache	`< 4.1.0`	`4.1.0`

Mô tả

This issue affects Apache Superset: <4.1.0.

Users are recommended to upgrade to version 4.1.0, which fixes the issue or add these Postgres functions to the config set DISALLOWED_SQL_FUNCTIONS.

Mô tả của NVD

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Apache Superset. Specifically, certain engine-specific functions are not checked, which allows attackers to bypass Apache Superset's SQL authorization. This issue is a follow-up to CVE-2024-39887 with additional disallowed PostgreSQL functions now included: query_to_xml_and_xmlschema, table_to_xml, table_to_xml_and_xmlschema. This issue affects Apache Superset: <4.1.0. Users are recommended to upgrade to version 4.1.0, which fixes the issue or add these Postgres functions to the config set DISALLOWED_SQL_FUNCTIONS.