💬 观点Simon Willison
datasette 1.0a38 — Datasette 1.0a38 修复了一个 SQL 注入漏洞，影响混合公开和私
Datasette 1.0a38 修复了一个 SQL 注入漏洞，影响混合公开和私有表的实例。
2026-08-06原文
本文为要点摘要，完整细节以原文为准。
🧭 一图看懂
由原文自动提炼 · 以原文为准点击任一分支，查看这一点的一句话解读
Datasette 1.0a38 修复 SQL 注入
仅影响同一数据库中同时提供公开与私有表的实例
- 访问控制依赖 Datasette 权限系统
- 该配置据作者称较为罕见
🔗 涉及的概念与玩家
- Datasette产品
- Simon Willison人物
- SQL injection概念
- execute-sql概念
- Datasette permissions system概念
- Simon Willison—发布→Datasette
- Datasette—修复→SQL injection
- Datasette—建议禁用→execute-sql
- Datasette—使用→Datasette permissions system
- 该漏洞允许用户通过 SQL 注入绕过权限限制，读取同一数据库中私有表的数据，即使已禁用 execute-sql 权限。
- 修复版本为 1.0a38 和 0.65.3，建议管理员在混合表场景下禁用 execute-sql 权限以规避风险。
- 对开发者而言，此案例凸显了权限系统与原始 SQL 执行之间的潜在冲突，需谨慎配置以保障数据安全。
原文：datasette 1.0a38 · 作者 Simon Willison
🕸 顺着图谱继续读
- datasette-mcp 0.2 — Datasette MCP 0.2 发布，优化 SQL 查询结果格式，提升模型理2026-09-01 · 共同涉及 Datasette、execute-sql、Simon Willison
- datasette-explain 0.2.2 — Datasette 查询解释插件更新，让只读存储查询页也能看执行计划2026-09-20 · 共同涉及 Datasette、Simon Willison
- datasette-auth-github 1.0 — Datasette 的 GitHub 登录插件升到 1.0，起因是一个 cook2026-09-19 · 共同涉及 Datasette、Simon Willison
- datasette 0.65.5 — Datasette 0.65.5 修了一个权限绕过漏洞：表名尾部换行符能读到私有2026-09-16 · 共同涉及 Datasette、Simon Willison