PT-2026-21682 · Postgresql Global Development Group+1 · Postgresql+1

Trung Đức Lê · CVE-2026-23984 · Publicado 2026-02-24 · Atualizado 2026-07-13

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Apache Superset anteriores a 6.0.0

Descrição Existe uma falha no Apache Superset na qual um usuário autenticado com acesso ao SQLLab pode contornar a verificação de somente leitura ao utilizar uma conexão de banco de dados PostgreSQL. O sistema não detecta instruções SQL especialmente elaboradas que contêm comandos de Linguagem de Manipulação de Dados (DML), como INSERT, UPDATE e DELETE, em conexões configuradas como somente leitura. O componente vulnerável é o processo de verificação de somente leitura dentro do SQLLab.

Recomendações Atualize para a versão 6.0.0 para resolver o problema.

Exploit

Correção

Incorrect Authorization

Information Disclosure

Enumeração de Fraquezas

CWE-863

CWE-200

Identificadores relacionados

BIT-SUPERSET-2026-23984

CVE-2026-23984

ECHO-B5B5-F3A3-187C

GHSA-MWF2-QR4V-94H2

PYSEC-2026-2376

Produtos afetados

Apache Superset

Postgresql

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23984.json · Exploit
• https://github.com/apache/superset · Nota
• https://osv.dev/vulnerability/GHSA-mwf2-qr4v-94h2 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-2376 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-superset-2026-23984 · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2028482271108337969 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2027842779842249119 · Publicação no Twitter
• https://twitter.com/oss_security/status/2026525907813306789 · Publicação no Twitter
• https://lists.apache.org/thread/72cmgxtvp9pclto4ln1chbs1227nwd26 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-23984 · Nota de Segurança
• https://pypi.org/project/apache-superset · Nota
• https://github.com/advisories/GHSA-mwf2-qr4v-94h2 · Nota
• https://osv.dev/vulnerability/CVE-2026-23984 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/02/24/8 · Nota
• https://twitter.com/CVEnew/status/2027841536067833876 · Publicação no Twitter