CVE-2026-23969 in Superset

摘要

由 VulDB • 2026-05-26

Apache Superset 使用一个可配置的字典 DISALLOWED_SQL_FUNCTIONS，以限制在 SQL Lab 和图表中执行潜在的敏感 SQL 函数。虽然此功能包含了对 PostgreSQL 等引擎的限制，但报告称 ClickHouse 引擎的默认列表不完整。

此问题影响 Apache Superset：4.1.2 之前的版本。

建议用户升级到修复了该问题的 4.1.2 版本。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: Apache
• 预定: 2026-01-19
• 披露: 2026-02-24
• 管理: 已接受
• 条目: VDB-347530
• CPE: 准备好
• CWE: CWE-89 (已确认)
• CVSS: 6.5 (NVD)
• EPSS: 0.00607
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-23969
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-23969
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-23969/