Script intersite (cross site scripting) wandb OpenUI Window Message Event index.html

La vulnérabilité CVE-2026-4995 affecte OpenUI de wandb jusqu'à la version 1.0, exposant une vulnérabilité de Cross-Site Scripting (XSS) au sein du composant 'Window Message Event Handler' situé dans frontend/public/annotator/index.html. Cette vulnérabilité permet aux attaquants d'injecter des scripts malveillants dans l'application, qui s'exécuteront dans les navigateurs des autres utilisateurs. Le risque est important car l'exploitation peut se produire à distance, permettant aux attaquants de voler des informations sensibles, de modifier le comportement de l'application ou même de prendre le contrôle des comptes d'utilisateurs. Le manque de réponse du fournisseur aggrave la situation, laissant les utilisateurs sans correctif officiel immédiat. La divulgation publique de l'exploit augmente le risque d'attaques, car elle facilite sa mise en œuvre par des acteurs malveillants.

Organizations utilizing wandb OpenUI version 1.0, particularly those with sensitive data displayed within the interface, are at risk. Teams relying on wandb for data visualization and collaboration should prioritize patching or implementing mitigation strategies. Shared hosting environments where multiple users share the same wandb OpenUI instance are also at increased risk.

• python / wandb: Inspect the frontend/public/annotator/index.html file for suspicious JavaScript code or injection points.

import os
import re

file_path = 'frontend/public/annotator/index.html'

with open(file_path, 'r') as f:
    content = f.read()

# Look for patterns indicative of XSS (e.g., <script> tags, eval(), etc.)
if re.search(r'<script.*?>.*?</script>', content, re.IGNORECASE):
    print(f"Potential XSS vulnerability detected in {file_path}")

1. 2026-03-28Disclosure

   disclosure

1. Réservé2026-03-27
2. Publiée2026-03-28
3. Modifiée2026-04-01
4. EPSS mis à jour2026-04-04

Compte tenu du manque de correctif de la part du fournisseur, l'atténuation immédiate est cruciale. Il est fortement recommandé de mettre à niveau vers une version ultérieure d'OpenUI dès qu'elle est disponible. En attendant, des mesures de sécurité supplémentaires peuvent être mises en œuvre, telles que l'application de politiques de sécurité de contenu (CSP) strictes pour restreindre l'exécution de scripts provenant de sources non fiables. Il est également important de surveiller de près le trafic réseau à la recherche d'activités suspectes et d'éduquer les utilisateurs sur les risques liés à XSS et sur la manière d'identifier les attaques potentielles. La validation et la désinfection rigoureuses de toutes les entrées utilisateur sont essentielles pour empêcher l'injection de code malveillant. Envisager l'utilisation d'un pare-feu applicatif web (WAF) peut fournir une couche de protection supplémentaire.