Daniel Gaspar

**Name of the Vulnerable Software and Affected Versions** Apache Superset versions prior to 6.0.0 **Description** A sensitive data exposure issue exists in Apache Superset that allows authenticated users to retrieve sensitive user information. The `'/api/v1/tag'` API endpoint, when enabled, improperly serializes and returns sensitive fields associated with user objects, including password hashes (pbkdf2), email addresses, and login statistics. Users with low privileges, such as those with the Gamma role, can view this sensitive authentication data. **Recommendations** Upgrade to version 6.0.0, which resolves the issue. Ensure `TAGGING SYSTEM` is set to False, as this is the default configuration for Apache Superset.

**Name of the Vulnerable Software and Affected Versions** Apache Superset versions prior to 6.0.0 **Description** An improper authorization issue exists in Apache Superset that allows a low-privileged user to bypass data access controls. Specifically, an authenticated attacker with permissions to write datasets and read charts can bypass permission checks by overwriting the SQL query of an existing dataset when creating a dataset. This allows unauthorized data access. **Recommendations** Upgrade to version 6.0.0 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Apache Superset versions prior to 4.1.2 **Description** Apache Superset uses a configurable dictionary, `DISALLOWED SQL FUNCTIONS`, to limit the execution of potentially sensitive SQL functions in SQL Lab and charts. A flaw exists because the default list for the ClickHouse engine was not comprehensive, allowing potentially harmful SQL functions to be executed. **Recommendations** Upgrade to version 4.1.2 to resolve the issue.

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache Superset anteriores à 4.1.3 Descrição: Um usuário convidado que acessa um gráfico no Apache Superset recebe uma resposta da API do endpoint `/chart/data` que inclui um campo `query`. Este campo expõe indevidamente informações do esquema do banco de dados, como nomes de tabelas, ao usuário convidado de baixo privilégio. Recomendações: Atualize para a versão 4.1.3.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Apache Superset até a 4.1.1 **Descrição** O problema está relacionado à autorização inadequada, permitindo que usuários autenticados com permissões de leitura assumam a propriedade de painéis, gráficos ou conjuntos de dados. **Recomendações** Para as versões do Apache Superset até a 4.1.1, atualize para a versão 4.1.2 ou superior para corrigir o problema.

**Nome do software vulnerável e versões afetadas** Versões do Apache Superset anteriores à 4.1.0 **Descrição** O problema está relacionado a uma falha de autorização no Apache Superset, afetando especificamente bancos de dados analíticos Postgres. Um invasor com acesso ao SQLLab pode criar uma instrução SQL DML especialmente projetada que seja incorretamente identificada como uma consulta somente leitura, permitindo sua execução e possibilitando, potencialmente, o acesso de gravação não autorizado. Conexões a bancos de dados analíticos que não sejam Postgres e conexões a bancos de dados analíticos Postgres configuradas com um usuário somente leitura não estão vulneráveis. **Recomendações** Para resolver o problema, recomenda-se que os usuários atualizem para a versão 4.1.0, que corrige a falha. Como solução alternativa temporária, considere restringir o acesso ao SQLLab ou configurar conexões a bancos de dados analíticos Postgres com um usuário somente leitura para minimizar o risco de exploração.

Nome do software vulnerável e versões afetadas: Versões do Apache Superset anteriores à 4.1.0 Descrição: O problema está relacionado a uma vulnerabilidade de injeção de SQL devido à neutralização inadequada de elementos especiais usados em comandos SQL. Especificamente, certas funções específicas do mecanismo não são verificadas, permitindo que invasores contornem a autorização SQL. As funções afetadas incluem `query to xml and xmlschema`, `table to xml` e `table to xml and xmlschema`. Essa vulnerabilidade pode permitir que um invasor remoto execute código SQL arbitrário. Recomendações: Para versões anteriores à 4.1.0, atualize para a versão 4.1.0 para corrigir o problema. Como alternativa, adicione as funções Postgres `query to xml and xmlschema`, `table to xml` e `table to xml and xmlschema` ao conjunto de configuração `DISALLOWED SQL FUNCTIONS` como uma solução temporária.

**Nome do software vulnerável e versões afetadas** Versões do Apache Superset anteriores à 4.1.0 **Descrição** O problema está relacionado à geração de mensagens de erro que contêm informações de metadados analíticos no Apache Superset. Isso pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. Recomenda-se que os usuários atualizem para uma versão que corrija o problema. **Recomendações** Para versões anteriores à 4.1.0, atualize para a versão 4.1.0 para resolver o problema. Como solução temporária, considere restringir o acesso a mensagens de erro que possam conter informações confidenciais de metadados analíticos até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** Apache Superset versions 1.3.0 through 2.0.1 **Description** An authenticated user with specific data permissions could access database connections stored passwords by requesting a specific REST API. **Recommendations** For Apache Superset versions 1.3.0 through 2.0.1, consider restricting access to the REST API endpoint that allows access to database connections stored passwords until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Apache Superset versions 1.5.2 and prior Apache Superset version 2.0.0 **Description** A vulnerability in the SQL Alchemy connector of Apache Superset allows an authenticated user with read access to a specific database to add subqueries to the WHERE and HAVING fields referencing tables on the same database that the user should not have access to, despite the user having the feature flag `ALLOW ADHOC SUBQUERY` disabled. **Recommendations** For Apache Superset versions 1.5.2 and prior, consider disabling the SQL Alchemy connector until a patch is available. For Apache Superset version 2.0.0, consider disabling the SQL Alchemy connector until a patch is available. As a temporary workaround, consider restricting access to the `WHERE` and `HAVING` fields in the SQL Alchemy connector to minimize the risk of exploitation.