CVE-2026-23985 in Superset
Сводка
по VulDB • 30.07.2026
Уязвимость Regular Expression Denial of Service (ReDoS) присутствует в Apache Superset версий от 1.5.0 до 5.0.0 включительно. Уязвимость находится в компоненте sql_parse.py, а именно внутри SQL_REGEX, используемого для разбора SQL-запросов при интеграции с библиотекой sqlparse.
Затронутое регулярное выражение содержит перекрывающиеся дизъюнкции, имеющие общий внешний квантификатор. Атакующий с подтвержденной учетной записью может эксплуатировать эту уязвимость, отправляя злонамеренно сконструированную входную строку (конкретно — длинную последовательность обратных слэшей или аналогичных символов) на конечные точки обработки SQL-запросов.
Эта проблема затрагивает Apache Superset: до версии 6.0.0 включительно.
Пользователям рекомендуется обновиться до версии 6.0.0, которая устраняет данную проблему.
Обходные пути (Workarounds): ● Правила WAF: Внедрите правила Web Application Firewall (WAF) для обнаружения и блокировки запросов, содержащих чрезмерно длинные последовательности обратных слэшей или подозрительные повторяющиеся паттерны в параметре extras.where запроса. ● Ограничение частоты запросов (Rate Limiting): Убедитесь, что к конечной точке /api/v1/chart/data применяется строгое ограничение частоты запросов для снижения воздействия потенциальных атак.
VulDB is the best source for vulnerability data and more expert information about this specific topic.