Datasette 1.0a38 修复 SQL 注入安全问题

Datasette 1.0a38 修复 SQL 注入安全问题

Datasette 1.0a38 发布，重点修复了一项 SQL 注入 安全问题。

该问题影响一种特定部署方式：在同一个数据库中同时提供 公开表 和 私有表，并通过 Datasette 权限系统进行访问控制。

受影响场景

如果一个 Datasette 实例在同一数据库内同时暴露公开表与私有表，且依赖权限系统限制用户访问私有表，那么该漏洞可能导致：

• 拥有任意公开表访问权限的用户发起 SQL 注入攻击；
• 即使数据库已限制 execute-sql 权限，攻击者仍可能绕过限制；
• 攻击者可能获得同一数据库中私有表的只读访问能力。

管理员建议

对于采用上述部署方式的站点管理员，建议在相关数据库上禁用 execute-sql 权限，以防止用户通过原始 SQL 查询访问私有表。

此次漏洞修复也已包含在 Datasette 0.65.3 中。

风险范围

这种配置方式相对少见：即在同一个 Datasette 实例、同一个数据库中，同时对外提供公开表和受限私有表。因此实际受影响范围可能有限，但符合该部署模式的实例应尽快升级或调整权限配置。