BDU:2026-14539

Опубликовано: 24 фев. 2026

Источник: fstec

CVSS3: 6.5

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость программного обеспечения визуализации данных Apache Superset связана с непринятием мер по защите структуры запроса SQL при обработке параметров sqlExpression и where. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Вендор

Apache Software Foundation

Наименование ПО

Superset

Версия ПО

до 6.0.0 (Superset)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Средний уровень опасности (оценка CVSS 4.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://lists.apache.org/thread/h4l02zw1pr2vywv0dc5zjn3grdcdhwf4

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-23980
CVE

EPSS

Процентиль: 40%

0.00503

Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2026-23980

CVSS3: 6.5

nvd

7 месяцев назад

Improper Neutralization of Special Elements used in a SQL Command ('SQL Injection') vulnerability in Apache Superset allows an authenticated user with read access to conduct error-based SQL injection via the sqlExpression or where parameters. This issue affects Apache Superset: before 6.0.0. Users are recommended to upgrade to version 6.0.0, which fixes the issue.

GHSA-gvxg-9hqx-f4rg

github