Datasette 0.65.3 faz back-port de correção de SQL Injection

A fonte aqui é curta, e vou ser honesto sobre isso: o release note do Datasette 0.65.3, publicado por Simon Willison em 6 de agosto de 2026, tem basicamente uma linha. Ele fez o back-port de uma correção de segurança de SQL Injection que já havia sido aplicada na versão 1.0a38. Ou seja: quem está na linha estável 0.65 ganha a mesma proteção sem precisar migrar para a série 1.0 alpha.

Mesmo sendo enxuta, essa é o tipo de release que vale um parágrafo de atenção. Correção de SQL Injection não é item de changelog para ignorar, principalmente numa ferramenta cujo propósito é justamente expor dados via web.

O que é o Datasette, para quem não conhece

O Datasette é uma ferramenta open-source multiuso para explorar e publicar dados. Na prática, você aponta ele para um arquivo SQLite e ele sobe uma interface web navegável, com API JSON pronta, filtros, facetas e a possibilidade de rodar SQL direto no navegador. É muito usado por jornalistas de dados, pesquisadores e devs que precisam transformar um banco em algo consultável rapidamente.

O fluxo básico é direto:

pip install datasette
datasette meu_banco.db

E você já tem um servidor local expondo as tabelas. Para publicar, existem plugins e comandos de deploy que colocam isso em serviços como Vercel, Cloud Run e afins.

Por que uma correção de SQL Injection importa aqui

O Datasette permite consultas SQL customizadas pela URL, um recurso poderoso que é também sua maior superfície de risco. Uma falha de SQL Injection nesse contexto pode significar leitura de dados que você não pretendia expor, ou pior, dependendo de como o deploy está configurado. Se você mantém uma instância pública, especialmente com o modo de SQL arbitrário habilitado, atualizar não é opcional.

O detalhe do back-port é o que faz essa release ser útil na prática: nem todo mundo quer pular para uma versão alpha (1.0a38) em produção. Trazer a correção para a linha 0.65, estável, é a decisão certa para quem precisa de segurança sem instabilidade.

O que fazer agora

Se você tem qualquer instância do Datasette rodando na série 0.65:

pip install --upgrade datasette
datasette --version

Confirme que está em 0.65.3 ou superior. Vale também revisar se sua instância expõe SQL arbitrário publicamente e se as permissões de leitura estão restritas ao que você realmente quer publicar.

Contexto para quem constrói no Brasil

De tempos em tempos aparece a necessidade de disponibilizar um dataset (dados públicos, base de um projeto, resultado de scraping) de forma consultável sem montar um backend inteiro. O Datasette resolve isso muito bem, e é uma alternativa leve para protótipos e portais de dados abertos. Se você trabalha com dados e ainda não testou, essa é uma ferramenta que merece uma tarde de experimentação.

Uma observação de honestidade: esta release em si não traz features novas, só a correção de segurança. Se você está na série 1.0 alpha, provavelmente já tem o fix. O recado é para quem está na 0.65 e pode ter deixado a instância parada. Aliás, no mesmo período Willison tem publicado bastante sobre MCP e ferramentas relacionadas, incluindo um datasette-mcp, o que mostra que o projeto segue vivo e conectado à onda de agentes. Fica a dica para explorar depois de atualizar.

Fonte: Simon Willison