S’ha detectat una vulnerabilitat crítica en versions d’Apache Superset prèvies a la 3.0.3
Anàlisi
Existix una vulnerabilitat de seqüències d’ordes en llocs encreuats (XSS) emmagatzemades en Apache Superset anterior a 3.0.3. Un atacant autenticat amb permisos de creació/actualització de gràfics o quadres d’orde podria emmagatzemar un script o afegir un fragment HTML específic que actuaria com a XSS emmagatzemat.
Versions Afectades
- Versions d’Apache Superset anteriors a la 3.0.3.
Recomanacions
- Actualitzar a Apache Superset versió 3.0.3.
- Per a les versions 2.X, els usuaris han de canviar la seua configuració per a incloure:
TALISMAN_CONFIG = {
“content_security_policy”: {
“base-uri”: [“‘self'”],
“default-src”: [“‘self'”],
“img-src”: [“‘self'”, “blob:”, “data:”],
“worker-src”: [“‘self'”, “blob:”],
“connect-src”: [
“‘self'”,
” https://api.mapbox.com” https://api.mapbox.com” ;,
” https://events.mapbox.com” https://events.mapbox.com” ;,
],
“object-src”: “‘none'”,
“style-src”: [
“‘self'”,
“‘unsafe-inline'”,
],
“script-src”: [“‘self'”, “‘strict-dynamic'”],
},
“content_security_policy_nonce_in”: [“script-src”],
“force_https”: False,
“session_cookie_secure”: False,
}
Referències
https://lists.apache.org/thread/wjyvz8om9nwd396lh0bt156mtwjxpsvx