PT-2024-21277 · Apache · Apache Superset

Matt Freyre · Publicado 2024-02-28 · Atualizado 2025-02-05 · CVE-2024-26016

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Superset anteriores à 3.0.4

Versões do Apache Superset da 3.1.0 à 3.1.0

Descrição

Um usuário autenticado com privilégios baixos poderia importar um painel ou gráfico existente ao qual não tem acesso e, em seguida, modificar seus metadados, obtendo assim a propriedade do objeto. No entanto, é importante observar que o acesso aos dados analíticos desses gráficos e painéis ainda estaria sujeito à validação com base nos privilégios de acesso aos dados.

Recomendações

Para versões do Apache Superset anteriores à 3.0.4, atualize para a versão 3.1.1.

Para versões do Apache Superset 3.1.0, atualize para a versão 3.1.1.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BIT-SUPERSET-2024-26016

CVE-2024-26016

GHSA-3V9R-885J-762G

Produtos afetados

Apache Superset

Referências · 11

• https://github.com/apache/superset · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-26016 · Nota de Segurança
• https://t.me/cvenotify/72547 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-26016 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3v9r-885j-762g · Aviso do Fabricante
• https://lists.apache.org/thread/76v1jjcylgk4p3m0258qr359ook3vl8s · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1762847254426120245 · Publicação no Twitter
• https://twitter.com/dailycve/status/1874148572985442453 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-superset-2024-26016 · Aviso do Fabricante
• https://twitter.com/oss_security/status/1762845720996884931 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/02/28/7 · Nota