BDU:2025-10092

Опубликовано: 13 авг. 2025

Источник: fstec

CVSS3: 4.3

CVSS2: 4

EPSS Низкий

Описание

Уязвимость программного обеспечения визуализации данных Apache Superset связана с отсутствием защиты служебных данных в конечной точке/chart/data. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Вендор

Apache Software Foundation

Наименование ПО

Superset

Версия ПО

до 4.1.3 (Superset)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 4,3)

Средний уровень опасности (оценка CVSS 4.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использовать рекомендации:

https://lists.apache.org/thread/h2hw756wk4sj4z49blvzkr5fntl9hlf8

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 36%

0.00151

Низкий

4.3 Medium

CVSS3

4 Medium

CVSS2

Связанные уязвимости

CVE-2025-55673

CVSS3: 4.3

nvd

6 месяцев назад

When a guest user accesses a chart in Apache Superset, the API response from the /chart/data endpoint includes a query field in its payload. This field contains the underlying query, which improperly discloses database schema information, such as table names, to the low-privileged guest user. This issue affects Apache Superset: before 4.1.3. Users are recommended to upgrade to version 4.1.3, which fixes the issue.

GHSA-9g5x-mm39-wg9r

github