Plateforme
java
Composant
org.apache.storm:storm-webapp
Corrigé dans
2.8.6
2.8.6
CVE-2026-35565 describes a Stored Cross-Site Scripting (XSS) vulnerability found in the Apache Storm web UI. This vulnerability allows an authenticated user with topology submission rights to inject malicious HTML or JavaScript code into the UI through crafted topology metadata, potentially leading to unauthorized actions or data theft. The vulnerability affects versions of Apache Storm up to and including 2.8.5, but a patch is available in version 2.8.6.
La vulnérabilité CVE-2026-35565 dans l'interface utilisateur d'Apache Storm permet une attaque de Cross-Site Scripting (XSS) stockée. Cela se produit parce que l'interface utilisateur interprète directement les métadonnées de la topologie, y compris les ID des composants, les noms des flux et les valeurs de regroupement, dans le HTML via innerHTML sans aucune sanitisation. Un utilisateur authentifié disposant de privilèges de soumission de topologie pourrait créer une topologie malveillante contenant du code HTML/JavaScript dans les identifiants des composants. L'attaquant peut exécuter du code JavaScript arbitraire dans les navigateurs des autres utilisateurs accédant à l'interface utilisateur, potentiellement en volant des cookies de session, en redirigeant vers des sites malveillants ou en effectuant des actions au nom de l'utilisateur affecté. Le score CVSS est de 5,4, indiquant un risque moyen.
Un attaquant doit disposer d'une authentification et de permissions pour soumettre des topologies à Apache Storm. Une fois que l'attaquant a soumis une topologie malveillante, le code JavaScript malveillant est stocké dans la base de données ou le cache de l'interface utilisateur. Lorsque d'autres utilisateurs accèdent à l'interface utilisateur pour visualiser la topologie, le code JavaScript s'exécute dans leurs navigateurs. La vulnérabilité est exploitée en tirant parti du manque de sanitisation des métadonnées de la topologie avant qu'elles ne soient insérées dans le HTML de l'interface utilisateur. Le succès de l'exploitation dépend de la capacité de l'attaquant à créer une topologie contenant du code JavaScript malveillant qui peut être exécuté dans le contexte de l'utilisateur cible.
Statut de l'Exploit
EPSS
0.02% (percentile 4%)
Vecteur CVSS
L'atténuation principale de cette vulnérabilité est de mettre à niveau Apache Storm vers la version 2.8.6 ou ultérieure. Cette version inclut des correctifs pour empêcher l'interprétation directe des métadonnées de la topologie dans le HTML. En tant que solution de contournement temporaire, envisagez de désactiver la visualisation de la topologie dans l'interface utilisateur si elle n'est pas essentielle. De plus, mettez en œuvre des politiques de sécurité qui restreignent les privilèges de soumission de topologie aux utilisateurs de confiance, réduisant ainsi la surface d'attaque. La surveillance des journaux de l'interface utilisateur pour détecter les activités suspectes peut également aider à identifier et à répondre aux attaques potentielles.
Actualice a la versión 2.8.6 o superior para mitigar la vulnerabilidad. Si no es posible actualizar inmediatamente, aplique un parche a las funciones parseNode() y parseEdge() en el archivo JavaScript de la visualización para escapar HTML de todos los valores proporcionados por la API, incluyendo nodeId, :capacity, :latency, :component, :stream y :grouping, antes de interpolarlos en las cadenas HTML de la herramienta de información.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
XSS (Cross-Site Scripting) est un type de vulnérabilité de sécurité qui permet aux attaquants d'injecter des scripts malveillants dans des pages Web consultées par d'autres utilisateurs.
La version 2.8.6 inclut un correctif pour cette vulnérabilité spécifique, éliminant le risque de XSS stocké.
L'attaquant doit disposer d'une authentification et de permissions pour soumettre des topologies à Apache Storm.
Si vous utilisez une version d'Apache Storm antérieure à 2.8.6, vous êtes probablement affecté. Consultez la documentation d'Apache Storm pour plus d'informations.
Mettez en œuvre des politiques de sécurité pour restreindre les privilèges de soumission de topologie et surveillez les journaux de l'interface utilisateur.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier pom.xml et nous te dirons instantanément si tu es affecté.