CVE-2026-23985 in Superset
Zusammenfassung
von VulDB • 30.07.2026
Eine Regular Expression Denial of Service (ReDoS)-Schwachstelle ist in Apache Superset-Versionen von 1.5.0 bis 5.0.0 vorhanden. Die Schwachstelle befindet sich in der Komponente `sql_parse.py`, speziell innerhalb des für die SQLparse-Bibliotheksintegration verwendeten `SQL_REGEX` zum Parsen von SQL-Anweisungen.
Der betroffene reguläre Ausdruck enthält überlappende Disjunktionen, die einen gemeinsamen äußeren Quantifizierer teilen. Ein authentifizierter Angreifer kann dies ausnutzen, indem er eine böswillig erstellte Eingabezeichenfolge (speziell eine lange Sequenz von Backslashes oder ähnlichen Zeichen) an Endpunkte sendet, die SQL-Abfragen verarbeiten.
Dieses Problem betrifft Apache Superset: vor Version 6.0.0.
Benutzern wird empfohlen, auf Version 6.0.0 zu aktualisieren, welche das Problem behebt.
Workarounds: ● WAF-Regeln: Implementieren Sie Web Application Firewall (WAF)-Regeln, um Anfragen mit übermäßig langen Sequenzen von Backslashes oder verdächtigen wiederholten Mustern in den Abfragen.extras.where-Parametern zu erkennen und zu blockieren. ● Rate Limiting: Stellen Sie sicher, dass strenge Rate-Limiting-Maßnahmen auf dem /api/v1/chart/data-Endpunkt angewendet werden, um die Auswirkungen potenzieller Angriffe zu reduzieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.