Apache Superset versions prior to 2.1.0 uses a default secret to sign cookies. An unauthenticated attacker can use this default value to forge a cookie and authenticate himself as administrator.

Apache Superset 2.1.0 より前のバージョンは、デフォルトのシークレットを使用してクッキーに署名します。認証されていない攻撃者がこのデフォルト値を使用してクッキーを偽造し、自身を管理者として認証する可能性があります。

低于 2.1.0 的 Apache Superset 版本使用默认密码签署 Cookie。未经认证的攻击者可使用此默认值伪造 Cookie 并以管理员身份认证自己。

Apache Superset 2.1.0 之前版本使用預設密碼來簽署 Cookie。未經驗證的攻擊者可利用此預設值來偽造 Cookie，並將自己驗證為系統管理員。

遠端主機上安裝的 Apache Superset 版本受到潛在不安全工作階段金鑰弱點的影響。無論是未根據安裝指示變更預設組態的 SECRET_KEY 的安裝，還是使用可預測金鑰詞組的安裝，未經驗證的攻擊者都能以完整的系統管理員權限存取使用者儀表板，進而允許攻擊者入侵系統。 

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上的 Apache Superset 安裝設定為使用已知的預設 SECRET_KEY。這可允許未經驗證的遠端攻擊者將工作階段 cookie 偽造為任意使用者，進而繞過驗證並導致遠端程式碼執行。

The Apache Superset install on the remote host is configured to use a known default SECRET_KEY. This can allow a remote, unauthenticated attacker to forge session cookies as arbitrary users, bypassing authentication and leading to remote code execution.

The version of Apache Superset installed on the remote host is affected a potential unsecure session key vulnerability. Installations that have not altered the default configured SECRET_KEY according to the installation instructions, or that use a predictable key phrase, would allow for an unauthenticated attacker to access the user dashboard with full administrator rights, allowing the attacker to compromise the system. 

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされているバージョンの Apache Superset は、安全ではないセッションキーの脆弱性の影響を受ける可能性があります。デフォルトで設定されている SECRET_KEY をインストール手順に従って変更していない、または予測可能なキーフレーズを使用しているインストールでは、認証されていない攻撃者が完全な管理者権限でユーザーダッシュボードにアクセスし、攻撃者がシステムを侵害できる可能性があります。 

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストの Apache Superset のインストールは、既知の SECRET_KEY を使用するように設定されています。これにより、認証されていないリモートの攻撃者が任意のユーザーとしてセッションクッキーを偽造し、認証をバイパスしてリモートでコードを実行する可能性があります。

远程主机上安装的 Apache Superset 版本受到潜在不安全会话密钥漏洞的影响。无论是未根据安装说明更改默认配置的 SECRET_KEY 的安装，还是使用可预测关键短语的安装，未经身份验证的攻击者都能以完整的管理员权限访问用户仪表盘，从而允许攻击者入侵系统。 

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上的 Apache Superset 安装配置为使用已知的默认 SECRET_KEY。这可允许未经认证的远程攻击者以任意用户的身份伪造会话 cookie，从而绕过认证，并导致远程代码执行。

ID	Name	Product	Family	Published	Updated	Severity
114250	Apache Superset < 2.1.0 Hardcoded Secret Key	Web App Scanning	Component Vulnerability	4/12/2024	4/12/2024	critical
114250	Apache Superset < 2.1.0 のハードコードされた秘密鍵	Web App Scanning	Component Vulnerability	4/12/2024	4/12/2024	critical
114250	Apache Superset < 2.1.0 硬编码密钥	Web App Scanning	Component Vulnerability	4/12/2024	4/12/2024	critical
114250	Apache Superset < 2.1.0 硬式編碼秘密金鑰	Web App Scanning	Component Vulnerability	4/12/2024	4/12/2024	critical
186510	Apache Superset < 2.1.0 安全工作階段金鑰	Nessus	Misc.	12/1/2023	10/23/2024	critical
197191	Apache Superset 已知預設 SECRET_KEY (CVE-2023-27524)	Nessus	Misc.	5/16/2024	11/3/2025	critical
197191	Apache Superset Known Default SECRET_KEY (CVE-2023-27524)	Nessus	Misc.	5/16/2024	11/3/2025	critical
186510	Apache Superset < 2.1.0 Secure Session Key	Nessus	Misc.	12/1/2023	10/23/2024	critical
186510	Apache Superset < 2.1.0 のセキュアセッションキー	Nessus	Misc.	12/1/2023	10/23/2024	critical
197191	Apache Superset の既知の SECRET_KEY (CVE-2023-27524)	Nessus	Misc.	5/16/2024	11/3/2025	critical
186510	Apache Superset < 2.1.0 安全会话密钥	Nessus	Misc.	12/1/2023	10/23/2024	critical
197191	Apache Superset 已知的默认 SECRET_KEY (CVE-2023-27524)	Nessus	Misc.	5/16/2024	11/3/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical