CVE-2020-13948

Versões do Apache Superset anteriores à 0.37.1

A vulnerabilidade permite que um usuário autenticado obtenha acesso arbitrário ao pacote os do Python no processo da aplicação web. Isso permite que o usuário liste e acesse arquivos, variáveis de ambiente e informações do processo. Além disso, é possível definir variáveis de ambiente para o processo atual, criar e atualizar arquivos em pastas graváveis pelo processo web e executar programas arbitrários acessíveis pelo processo web. Todas as outras operações disponíveis no pacote os do Python também estão acessíveis.

Para versões anteriores à 0.37.1, atualize para a versão 0.37.1 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso a campos de texto com modelos no produto para minimizar o risco de exploração.