CVE-2020-13948
Təsvir
Apache Superset üzrə xəta hesabatı araşdırılarkən müəyyən edilmişdir ki, autentifikasiya olunmuş istifadəçi məhsuldakı bir sıra şablon mətn sahələri vasitəsilə sorğular hazırlayaraq 0.37.1-dən kiçik versiyalarda veb tətbiqi prosesində Python-un `os` paketini ixtiyari şəkildə əlçatan edə bilərdi. Beləliklə, autentifikasiya olunmuş istifadəçinin faylları, mühit dəyişənlərini və proses məlumatlarını siyahılamaq və onlara daxil olmaq imkanı var idi. Əlavə olaraq, cari proses üçün mühit dəyişənləri təyin etmək, veb prosesi tərəfindən yazıla bilən qovluqlarda fayllar yaratmaq və yeniləmək, habelə veb prosesi tərəfindən əlçatan olan ixtiyari proqramları icra etmək mümkün idi. Bu CVE-də açıq şəkildə sadalanmasa belə, Python-dakı `os` paketi üçün mövcud olan digər bütün əməliyyatlar da əlçatan idi.
Necə düzəltmək olar
- apache superset0.37.1 və ya daha yeni versiya
- apache-superset0.37.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache superset | v < 0.37.1 | 0.37.1 |
| apache-supersetPyPI | v < 0.37.1 | 0.37.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.