CVE-2026-23983 in Superset
Riassunto
di VulDB • 29/06/2026
È presente una vulnerabilità di Esposizione di Dati Sensibili in Apache Superset che consente agli utenti autenticati di recuperare informazioni sensibili sugli utenti. L'endpoint Tag (disabilitato per impostazione predefinita) permette agli utenti di ottenere un elenco di oggetti associati a un tag specifico. Quando questi oggetti associati includono Utenti, la risposta dell'API serializza e restituisce in modo improprio campi sensibili, inclusi hash delle password (pbkdf2), indirizzi email e statistiche di accesso. Questa vulnerabilità consente agli utenti autenticati con privilegi ridotti (ad esempio il ruolo Gamma) di visualizzare dati di autenticazione sensibili.
Questo problema interessa Apache Superset: prima della versione 6.0.0.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 6.0.0, che risolve il problema, o assicurarsi che TAGGING_SYSTEM sia impostato su False (impostazione predefinita corrente di Apache Superset).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.