Публикуван е публичен концептуален експлойт (proof-of-concept) за CVE-2026-23980 – уязвимост от тип SQL injection, засягаща версии на Apache Superset преди 6.0.0.
Недостатъкът би могъл да позволи на автентифицирани потребители с право за четене да предизвикат error-based SQL injection чрез специфични параметри на приложението.
Apache Superset е платформа с отворен код за проучване и визуализация на данни, която се използва широко за изграждане на информационни табла (dashboards), изпълнение на заявки към бази данни и споделяне на отчети за бизнес разузнаване.
Тъй като платформата може да се свързва към чувствителни източници на корпоративни данни, уязвимостите от тип SQL injection във функциите за обработка на заявки могат да създадат сериозни опасения за сигурността на организации, които предоставят достъп до Superset среди на множество потребители.
Уязвимостта, следена като CVE-2026-23980, е класифицирана като проблем с неправилно неутрализиране на специални елементи, използвани в SQL команда (Improper Neutralization of Special Elements used in a SQL Command), известен като SQL injection.
Публикуван PoC: Недостатък от тип SQL Injection в Apache Superset
Според бюлетина за сигурност на Apache Superset, уязвимата обработка в приложението засяга параметрите sqlExpression и where. Автентифициран атакуващ с достъп за четене би могъл да подаде специално адаптирани данни към тези параметри и да накара приложението да върне грешки от базата данни.
Атаките от тип Error-based SQL injection могат да помогнат на атакуващия да разбере структурата на използваната заявка, поведението на базата данни, имената на таблиците, имената на колоните и друга полезна информация.
В зависимост от целевата инсталация, тази информация би могла да подпомогне последващи опити за достъп или извличане на чувствителни записи. Проблемът засяга всички версии на Apache Superset от 0.0.0 до версия 6.0.0 (без да я включва).
Apache отстрани уязвимостта в Superset 6.0.0 и препоръчва на всички потребители да преминат към коригираната версия възможно най-скоро.
Изследователи по сигурността публикуваха и публично хранилище, съдържащо модифициран експлойт за CVE-2026-23980. Хранилището включва Python файл с име exploit.py, което показва, че техническите подробности и концептуалният код са вече публични.
Наличието на PoC увеличава спешността за защитниците, тъй като намалява усилията, необходими на атакуващите, за да проверят дали публично достъпните Superset среди са уязвими.
Откриването на съобщената уязвимост се приписва на Pritam Chakkerwar като откривател, Dhanush Nayak като докладвал проблема и Pedro Sousa като разработчик на корекцията. Apache оповести проблема в известие за сигурност, публикувано на 24 февруари 2026 г.
Организациите, използващи Apache Superset, трябва да идентифицират всички среди, да потвърдят инсталираните версии и да дадат приоритет на актуализацията до версия 6.0.0. Администраторите трябва също така да прегледат потребителските профили с права за четене на табла и набори от данни, особено в среди, където Superset се свързва с продукционни бази данни или съдържа достъп до поверителна бизнес информация.
Екипите трябва да проверят логовете на приложението и прокси сървърите за необичайни заявки, включващи параметрите sqlExpression или where. Повтарящи се невалидни заявки, отговори с грешки от базата данни, неочаквани фрагменти от SQL синтаксис или необичайна активност от автентифицирани профили с ниски привилегии могат да показват опит за експлоатация.
Въпреки че недостатъкът изисква автентификация, достъпът само за четене не трябва да се счита за безвреден. В платформите за анализ на данни дори ограничените потребителски привилегии могат да станат ценни, когато атакуващ може да влияе върху заявките към основната база данни.