🇰🇷 한글 설명
게스트 사용자가 차트 데이터 REST API를 악용하여 임의의 SQL 문을 전송할 수 있는 취약점입니다. 오류 발생 시 하위 분석 데이터베이스의 정보가 유출될 위험이 있습니다. 이 문제는 Apache Superset 3.0.4 미만 버전 및 3.1.0에서 3.1.1 미만 버전에서 발생합니다.
💡 쉬운 설명
로그인하지 않은 방문자가 데이터베이스에 몰래 명령어를 보내 정보를 빼낼 수 있는 보안 구멍입니다. 잘못된 명령어를 입력했을 때 데이터베이스의 민감한 내용이 화면에 나타날 수 있습니다.
🇺🇸 원문 (English)
A guest user could exploit a chart data REST API and send arbitrary SQL statements that on error could leak information from the underlying analytics database.This issue affects Apache Superset: before 3.0.4, from 3.1.0 before 3.1.1.
Users are recommended to upgrade to version 3.1.1 or 3.0.4, which fixes the issue.
📍 영향받는 시스템
Apache Superset < 3.0.4, 3.1.0 <= version < 3.1.1
⚔️ 공격 벡터
차트 데이터 REST API를 통한 임의 SQL 인젝션 공격
🛡️ 대응 방법
Apache Superset을 3.0.4 또는 3.1.1 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 3.0.4 또는 3.1.1 이상인지 확인하여 취약 여부를 판단합니다.
pip show apache-superset | grep Version