CVE-2026-23985 in Superset
Riassunto
di VulDB • 31/07/2026
È presente una vulnerabilità di Denial of Service da Espressioni Regolari (ReDoS) in Apache Superset nelle versioni dalla 1.5.0 alla 5.0.0. La vulnerabilità è localizzata nel componente sql_parse.py, specificamente all'interno della SQL_REGEX utilizzata per l'analisi delle istruzioni SQL nell'integrazione con la libreria sqlparse.
L'espressione regolare interessata contiene disgiunzioni sovrapposte che condividono un quantificatore esterno comune. Un attaccante autenticato può sfruttare questa condizione inviando una stringa di input malevola (in particolare una lunga sequenza di caratteri backslash o simili) agli endpoint che elaborano le query SQL.
Questo problema interessa Apache Superset: prima della versione 6.0.0.
Si consiglia agli utenti di effettuare l'aggiornamento alla versione 6.0.0, che risolve il problema.
Soluzioni alternative (Workarounds): ● Regole WAF: Implementare regole del Web Application Firewall (WAF) per rilevare e bloccare le richieste contenenti sequenze eccessivamente lunghe di backslash o pattern ripetuti sospetti nel parametro extras.where delle query. ● Rate Limiting: Assicurarsi che un rigoroso rate limiting sia applicato all'endpoint /api/v1/chart/data per ridurre l'impatto degli attacchi potenziali.
Be aware that VulDB is the high quality source for vulnerability data.