NVD / CVE Programı· CNA apache

CVE-2021-28125: Apache Superset Open Redirect

OrtaCVSS 6.1 · v3.1—İstismar yok Düzeltme var

Noroxi değerlendirmesi

Öncelik: Planlayın (aksiyon skoru 43/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %64 (FIRST EPSS); kayıtların %99,2 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Bir kullanıcının bağlantıyı açması ya da sayfayı ziyaret etmesi gerekir. Özel bir koşul gerekmez; tekrarlanabilir.
Düzeltilmiş sürüm: apache-superset (PyPI) 1.1.0.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.

Olağan yama döngüsüne alın. apache-superset (PyPI) 1.1.0 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

Apache Superset up to and including 1.0.1 allowed for the creation of an external URL that could be malicious. By not checking user input for open redirects the URL shortener functionality would allow for a malicious user to create a short URL for a dashboard that could convince the user to click the link.

Yayın: 27 Nis 2021
Güncelleme: 16 Haz 2026
EPSS: %64,0 · 99. yüzdelik
CWE: CWE-601

Rapor araçları

JSON

Aksiyon skoru

Planlayın

Olağan yama döngüsüne alın.

CVSS: 24 / 40 · 6.1 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 19 / 30 · %64,0

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Herkese açık istismar kodu kaydı yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
apache	superset	cpe:2.3:a:apache:superset

Üreticinin bildirdiği sürümler

Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Apache Software Foundation Apache Superset
- Apache Superset ve sonrası · 1.0.1 dahil öncesietkilenir

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

apache superset1.0.1 dahil

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
PyPI	apache-superset	1.1.0 öncesi	1.1.0
PyPI	superset	0.34.0 dahil öncesi	—

Aynı üründe

apache: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2023-27524Apache Superset: Session validation vulnerability when using provided default SECRET_KEYKEV
98Hemen
CVE-2023-39265Apache Superset: Possible Unauthorized Registration of SQLite Database Connections
60Bu hafta
CVE-2018-8021Versions of Superset prior to 0.23 used an unsafe load method from the pickle library to deserialize data leading to possible remote code…
55Planlayın

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2020-1395230 Eyl 2020 · In the course of work on the open source project it was discovered that authenticated users running queries against Hive and Presto…
33İzleyin
← ÖncekiCVE-2021-279075 Mar 2021 · Apache Superset stored XSS on Dashboard markdown
47Planlayın
Sonraki →CVE-2021-3260918 Eki 2021 · XSS vulnerability on Explore page
21İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
PyPI:apache-superset	1.1.0	Paket deposu (OSV)

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.