CVE-2026-23985

Apache Superset versiyaları 1.5.0-dan 5.0.0-a qədər olan versiyalarda Müntəzəm İfadələrlə Xidmətdən İmtina (ReDoS) zəifliyi mövcuddur. Zəiflik sql_parse.py komponentində, xüsusilə sqlparse kitabxanası inteqrasiyasında SQL ifadələrini təhlil etmək üçün istifadə olunan SQL_REGEX daxilində yerləşir. Təsirə məruz qalan müntəzəm ifadə ortaq xarici kvantifikatora malik üst-üstə düşən disyunksiyalar ehtiva edir. Autentifikasiya olunmuş hücumçu, SQL sorğularını emal edən son nöqtələrə (endpoints) bədniyyətli şəkildə hazırlanmış giriş sətiri (xüsusilə geri meylli xətlərin və ya oxşar simvolların uzun ardıcıllığı) göndərməklə bundan istifadə edə bilər. Bu problem Apache Superset-in 6.0.0 versiyasından əvvəlki versiyalarına təsir göstərir. İstifadəçilərə problemi aradan qaldıran 6.0.0 versiyasına yüksəltmə etmək tövsiyə olunur. Alternativ həll yolları: ● WAF Qaydaları: queries.extras.where parametrində həddindən artıq uzun geri meylli xətt ardıcıllıqlarını və ya şübhəli təkrar nümunələri olan sorğuları aşkar etmək və bloklamaq üçün Veb Tətbiqi Firewall (WAF) qaydalarını tətbiq edin. ● Sorğu Limitlənməsi (Rate Limiting): Potensial hücumların təsirini azaltmaq üçün /api/v1/chart/data son nöqtəsinə ciddi sorğu limitlərinin tətbiq edildiyindən əmin olun.