Aktywnie wykorzystywana w atakach
Apache Superset Insecure Default Initialization of Resource Vulnerability
Apache - Superset · Figuruje w katalogu CISA KEV od 2024-01-08. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-27524
WysokieCVSS 8.9KEVStreszczenie
Ataki na walidację sesji w Apache Superset w wersjach do 2.0.1 mogą wystąpić, gdy instalacje nie zmieniły domyślnego klucza SECRET_KEY zgodnie z instrukcjami instalacji. Taki stan pozwala atakującemu na uwierzytelnienie się i dostęp do nieautoryzowanych zasobów.
Ocena ryzyka
Organizacje, które nie zmieniły domyślnego klucza SECRET_KEY, są narażone na nieautoryzowany dostęp do danych i zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się, aby wszystkie instalacje Superset ustawiły unikalny, bezpieczny klucz SECRET_KEY. Należy dodać silny klucz do pliku `superset_config.py` lub ustawić go za pomocą zmiennej środowiskowej `SUPERSET_SECRET_KEY`.
Powiązane podatności
- CVE-2026-44267Krytyczne
W bibliotece Elo w wersjach przed 1.0.1 zwykłe łańcuchy znaków przekazywane do parsera mogą wykorzystać właściwość .constructor.constructor do uzyskania dostępu do obiektu JavaScript Function. Powstały kod JavaScript wykonuje kod wybrany przez atakującego w środowisku hosta, co umożliwia wykonanie skryptu w przeglądarce oraz wykonanie dowolnego kodu Node.js.
- CVE-2026-44266Krytyczne
W bibliotece Elo w wersjach przed 1.0.1 backend Ruby osadza tekst kontrolowany przez atakującego w podwójnie cytowanych łańcuchach Ruby bez escapowania znaku #. Formy interpolacji Ruby w emitterze literałów łańcuchowych lub gałęzi ograniczeń podtypów stają się wykonywalnym kodem Ruby, co umożliwia wykonanie kodu Ruby i poleceń powłoki.
- CVE-2026-28336Krytyczne
SolarWinds Dameware zawiera podatność na wstrzyknięcie poleceń, która może doprowadzić do przejęcia zdalnie kontrolowanego hosta. Wymagane jest uwierzytelnienie.
- CVE-2026-109593Krytyczne
Nieuwierzytelniony atakujący z dostępem sieciowym do SonicWall GMS 9.5.2 i wcześniejszych może odczytać wewnętrzne pliki GMS, co potencjalnie ujawnia poufne informacje.
- CVE-2026-121260Krytyczne
W oprogramowaniu Ziroom ZHOME A0101 1.0.1.0 Build 202004151405 wykryto lukę w funkcji loadstring w pliku usr/lib/lua/luci/controller/api/zrUsb.lua (komponent Lua Handler). Manipulacja danymi prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-118527ŚrednieAktywnie exploitowane
W Ivanti Connect Secure przed wersjami 25.1.1.3 i 22.8R2.6 występuje użycie przewidywalnych nazw plików. Uwierzytelniony zdalny atakujący może przesłać pliki o kontrolowanej przez siebie treści do znanej lokalizacji na dysku.
- CVE-2026-89292Krytyczne
W Eclipse Mnestix Browser w wersjach od 1.6.0 do 2.3.0 (wyłącznie) nieuwierzytelniony atakujący mógł wykraść klucz MNESTIX_BACKEND_API_KEY dla wszystkich skonfigurowanych infrastruktur.
- CVE-2026-4052Krytyczne
Podatność dotyczy wdrożeń WSO2 Identity Server skonfigurowanego jako Resident Key Manager z udostępnianiem bazy danych. W takim środowisku samodzielnie zarejestrowany użytkownik może uzyskać dostęp do System REST APIs WSO2 API Manager poprzez token z endpointu tokenów WSO2 Identity Server.
- CVE-2026-13594Krytyczne
Wersje 13062 i starsze produktów ManageEngine Log360 oraz EventLog Analyzer firmy Zoho Corporation są podatne na problem umożliwiający przeciwnikowi uzyskanie nieautoryzowanego dostępu do produktu.
- CVE-2026-120534Krytyczne
Wtyczka Advanced Custom Fields: Extended PRO dla WordPressa jest podatna na ograniczoną iniekcję kodu w wersjach do 0.9.2.6 włącznie, poprzez funkcję render_field. Brak wystarczającej walidacji parametrów konfiguracji formularza pozwala nieuwierzytelnionym atakującym na wywoływanie dowolnych funkcji WordPressa z kontrolowanymi argumentami.
Oryginalny opis (angielski, źródło NVD)
Session Validation attacks in Apache Superset versions up to and including 2.0.1. Installations that have not altered the default configured SECRET_KEY according to installation instructions allow for an attacker to authenticate and access unauthorized resources. This does not affect Superset administrators who have changed the default value for SECRET_KEY config. All superset installations should always set a unique secure random SECRET_KEY. Your SECRET_KEY is used to securely sign all session cookies and encrypting sensitive information on the database. Add a strong SECRET_KEY to your `superset_config.py` file like: SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY> Alternatively you can set it with `SUPERSET_SECRET_KEY` environment variable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS