Дефолтный SECRET_KEY Apache Superset позволяет подделать админ-cookie

Уязвимость CVE-2023-27524 в Apache Superset до версии 2.0.1 позволяет без учётных данных подделать сессионную cookie администратора, если оператор не сменил дефолтный SECRET_KEY. ZoomEye насчитала 101 819 доступных из интернета инстансов Superset; в связке с CVE-2023-37941 и CVE-2024-28148 это ведёт к выполнению кода и обходу авторизации.

• CVE-2023-27524 затрагивает Superset до 2.0.1 включительно
• ZoomEye: 101 819 инстансов Superset доступны из интернета на 23.10.2026
• CVE-2023-37941 (pickle) исправлена в 2.1.1 и даёт RCE
• Смена SECRET_KEY разлогинивает всех пользователей, поэтому её откладывают