Šta se desilo?

Objavljen je javno dostupan proof-of-concept (PoC) kod za SQL injection ranjivost CVE-2026-23980 u Apache Superset platformi.

Ranjivost omogućava autentifikovanom korisniku sa pravom čitanja da manipulacijom određenih parametara izvrši error-based SQL injection i potencijalno izvuče osetljive informacije iz povezane baze podataka.

Iako ranjivost ne omogućava napad bez autentifikacije, dostupnost javnog PoC-a olakšava proveru i potencijalnu zloupotrebu nezaštićenih ili loše konfigurisanih Superset instanci.

Koga pogađa?

Pogođene su sve Apache Superset verzije starije od 6.0.0.

Poseban rizik postoji u okruženjima u kojima veliki broj korisnika ima pristup Superset-u, gde su korisničke dozvole preširoke ili je platforma povezana sa produkcionim bazama koje sadrže poverljive poslovne podatke.

Kako se zaštititi?

  • Ažurirajte Apache Superset na verziju 6.0.0 ili noviju.
  • Pregledajte korisničke naloge i ograničite pristup bazama prema principu najmanjih privilegija.
  • Proverite koje baze i tabele su dostupne korisnicima sa pravima čitanja.
  • Pratite aplikacione logove i logove baze podataka zbog neuobičajenih SQL grešaka i ponavljanih sumnjivih upita.
  • Obratite pažnju na zahteve koji koriste parametre sqlExpression i where na neuobičajen način.
  • Superset povezujte sa bazama preko naloga koji imaju samo minimalno potrebne privilegije.

Tehnički detalji

CVE-2026-23980 je SQL injection ranjivost klasifikovana kao CWE-89. Za nju GitHub Advisory Database navodi CVSS 4.0 ocenu 5,3 (srednji rizik).

Problem omogućava autentifikovanom korisniku sa pravom čitanja da izvrši error-based SQL injection preko parametara sqlExpression ili where.

Napadač može koristiti poruke o greškama baze kako bi postepeno izvlačio informacije o strukturi baze, tabelama, kolonama i potencijalno osetljivim podacima kojima Superset nalog ima pristup.

Ranjivost pogađa sve verzije Apache Superset-a pre 6.0.0, dok verzija 6.0.0 sadrži ispravku.

Zašto je važno?

Pravo čitanja kroz analitičku aplikaciju ne treba da omogući pristup podacima van dozvoljenog opsega. Zato su važni i ispravka aplikacije i minimalne privilegije naloga prema povezanoj bazi. Javni PoC nije dokaz aktivne eksploatacije; pregledani izvori je ne potvrđuju.

Preporuka Sajber Radara

Ako koristite Apache Superset verziju stariju od 6.0.0, ažurirajte je na podržanu verziju što pre. Posebno proverite dozvole korisnika i privilegije naloga kojima Superset pristupa produkcionim bazama.

Objavljivanje javnog PoC-a povećava rizik od praktične zloupotrebe, ali najveći problem postoji u okruženjima sa preširokim korisničkim dozvolama i pravima pristupa bazi.