CVE-2026-23985 in Superset
Sumário
de VulDB • 31/07/2026
Uma vulnerabilidade de Regular Expression Denial of Service (ReDoS) existe no Apache Superset nas versões 1.5.0 a 5.0.0. A vulnerabilidade está localizada no componente sql_parse.py, especificamente dentro do SQL_REGEX utilizado para analisar instruções SQL na integração da biblioteca sqlparse.
A expressão regular afetada contém disjunções sobrepostas que compartilham um quantificador externo comum. Um atacante autenticado pode explorar isso enviando uma string de entrada maliciosa (especificamente uma longa sequência de barras invertidas ou caracteres semelhantes) para endpoints que processam consultas SQL.
Este problema afeta o Apache Superset: antes da versão 6.0.0.
Recomenda-se aos usuários atualizarem para a versão 6.0.0, que corrige o problema.
Workarounds (Soluções alternativas): ● Regras WAF: Implemente regras de Web Application Firewall (WAF) para detectar e bloquear solicitações contendo sequências excessivamente longas de barras invertidas ou padrões repetidos suspeitos no parâmetro extras.where das consultas. ● Limitação de Taxa (Rate Limiting): Garanta que uma limitação rigorosa da taxa seja aplicada ao endpoint /api/v1/chart/data para reduzir o impacto de possíveis ataques.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.