p PatchFirst

CVE-2022-41703

CVE-2022-41703 · Apache Superset: SQL injection vulnerability in adhoc clauses

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

A vulnerability in the SQL Alchemy connector of Apache Superset allows an authenticated user with read access to a specific database to add subqueries to the WHERE and HAVING fields referencing tables on the same database that the user should not have access to, despite the user having the feature flag "ALLOW_ADHOC_SUBQUERY" disabled (default value). This issue affects Apache Superset version 1.5.2 and prior versions and version 2.0.0.

CVSS 5.4 · Moyenne · EPSS 1,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • apache superset

    Versions du logiciel
    • ≥ 2.0.0, < 2.0.1: Concernée (semver)
    • ≥ 0, ≤ 1.5.2: Concernée (semver)

    Mettez à jour vers 2.0.1

  • apache-superset PyPI

    Versions du logiciel
    • 0.34.0
    • 0.34.1
    • 0.35.1
    • 0.35.2
    • 0.36.0
    • 0.37.0
    • 0.37.1
    • 0.37.2
    • 0.38.0
    • 0.38.1
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.2.0
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 1.5.0
    • 1.5.1
    • 1.5.2
    Plages de versions concernées
    • ECOSYSTEM: ≤ 1.5.2

    Aucun correctif publié

  • apache-superset PyPI

    Versions du logiciel
    • 2.0.0

    Aucun correctif publié

  • apache-superset PyPI

    Versions du logiciel
    • 0.34.0
    • 0.34.1
    • 0.35.1
    • 0.35.2
    • 0.36.0
    • 0.37.0
    • 0.37.1
    • 0.37.2
    • 0.38.0
    • 0.38.1
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.2.0
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 2.0.0
    Plages de versions concernées
    • ECOSYSTEM: < 1.5.3 ∪ ≥ 2.0.0, < 2.0.1

    Mettez à jour vers 1.5.3; Mettez à jour vers 2.0.1

Sources originales

Vérifiez votre serveur →