中危 Apache Superset：where_in JINJA 宏上的 SQL 注入 (CVE-2023-49736)
CVE编号
CVE-2023-49736利用情况
暂无补丁情况
官方补丁披露时间
2023-12-19漏洞描述
Apache Superset 是一个数据可视化和数据探索平台 Apache Superset中的where_in JINJA宏允许用户指定引号，结合的语句可能导致SQL注入。该问题影响 Apache Superset：2.1.2之前版本，3.0.0之前版本。建议用户升级到3.0.2版本以修复该问题。解决建议
"将组件 apache-superset 升级至 2.1.2 及以上版本""将组件 apache-superset 升级至 3.0.2 及以上版本"
参考链接 |
|
|---|---|
| http://www.openwall.com/lists/oss-security/2023/12/19/2 | |
| https://lists.apache.org/thread/1kf481bgs3451qcz6hfhobs7xvhp8n1p |
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 普通权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-89 | SQL命令中使用的特殊元素转义处理不恰当（SQL注入） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论