CVE-2024-39887
Açıklama
Apache Superset üzerinde, SQL komutlarında kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi nedeniyle bir SQL Injection zafiyeti bulunmaktadır. Özellikle, belirli motor spesifik fonksiyonların kontrol edilmemesi, saldırganların Apache Superset'in SQL yetkilendirmesini atlatmasına olanak tanır. Bunu hafifletmek için DISALLOWED_SQL_FUNCTIONS adlı yeni bir yapılandırma anahtarı tanıtılmıştır. Bu anahtar; version, query_to_xml, inet_server_addr ve inet_client_addr şeklindeki şu PostgreSQL fonksiyonlarının kullanımını yasaklar. Artırılmış koruma için bu listeye ek fonksiyonlar eklenebilir. Bu sorun Apache Superset'in 4.0.2 öncesi sürümlerini etkilemektedir. Kullanıcıların, sorunu gideren 4.0.2 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache superset4.0.2 ya da sonraki bir sürüm
- apache-superset4.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache superset | v < 4.0.2 | 4.0.2 |
| apache-supersetPyPI | v < 4.0.2 | 4.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.