CVE-2026-23980

中已发布

Apache Superset：SQL命令中特殊元素的中和不当

已发布: 2026年2月24日
已更新: 2026年2月24日
分配 CNA: apache
观察到的证据: 2026年8月25日

初级CVSS

5.3/ 10中

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS概率估计

0.6%

低 · 未来 30 天

百分位: 47.8%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

Apache Superset 中存在特殊元素中和不当（'SQL 注入'）漏洞，允许具有读取权限的已认证用户通过 sqlExpression 或 where 参数进行基于错误的 SQL 注入。此问题影响 Apache Superset：6.0.0 之前的所有版本。建议用户升级至修复该问题的 6.0.0 版本。

来源

CVE-2026-23980-Exploit漏洞利用
CVE-2026-23980 的漏洞利用程序 — Apache Superset < 6.0.0 中通过 sqlExpression 绕过实现基于错误的已认证 SQL 注入
CVE-2026-23980PoC
针对 CVE-2026-23980 的修改版概念验证漏洞利用程序，提供可用于漏洞复现和安全测试的可用实现。
CVE-2026-PoCs研究
一个由社区策划、验证的、针对2026年披露的CVE的概念验证漏洞利用代码集合。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。