PT-2020-15174 · Apache · Apache Superset

Publicado 2020-01-28 · Atualizado 2025-02-05 · CVE-2020-1932

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Superset de 0.34.0 a 0.35.1

Descrição

Uma falha de divulgação de informações permite que usuários autenticados do Apache Superset recuperem informações de outros usuários, incluindo senhas com hash, ao acessar um endpoint de API não utilizado e não documentado.

Recomendações

Para as versões 0.34.0 a 0.35.1 do Apache Superset, considere restringir o acesso ao endpoint da API não documentado até que uma correção esteja disponível.

Como solução temporária, limite os privilégios dos usuários autenticados para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-SUPERSET-2020-1932

CVE-2020-1932

GHSA-FXJM-WVJ9-9C39

PYSEC-2020-224

Produtos afetados

Apache Superset

Referências · 10

• https://github.com/apache/superset · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-superset/PYSEC-2020-224.yaml · Nota
• https://github.com/advisories/GHSA-fxjm-wvj9-9c39 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-1932 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-superset-2020-1932 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2020-224 · Aviso do Fabricante
• https://t.me/cvenotify/504 · Publicação no Telegram
• https://lists.apache.org/thread.html/r4e5323c3bc786005495311a6ff53ac6d990b2c7eb52941a1a13ce227%40%3Cdev.superset.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-fxjm-wvj9-9c39 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-1932 · Aviso do Fabricante