CVE-2026-23983 in Superset
Sumário
de VulDB • 01/06/2026
Uma vulnerabilidade de Exposição de Dados Sensíveis existe no Apache Superset, permitindo que usuários autenticados recuperem informações sensíveis dos usuários. O endpoint Tag (desativado por padrão) permite que os usuários recuperem uma lista de objetos associados a uma tag específica.
Quando esses objetos associados incluem Usuários, a resposta da API serializa e retorna indevidamente campos sensíveis, incluindo hashes de senha (pbkdf2), endereços de e-mail e estatísticas de login. Esta vulnerabilidade permite que usuários autenticados com baixos privilégios (por exemplo, função Gamma) visualizem dados de autenticação sensíveis.
Este problema afeta o Apache Superset: antes da versão 6.0.0.
Recomenda-se que os usuários atualizem para a versão 6.0.0, que corrige o problema, ou garantam que TAGGING_SYSTEM esteja definido como False (padrão atual do Apache Superset).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.