wandb OpenUI विंडो मैसेज इवेंट index.html क्रॉस साइट स्क्रिप्टिंग (cross site scripting)

CVE-2026-4995 wandb OpenUI के संस्करण 1.0 और उससे पहले के संस्करणों को प्रभावित करता है, frontend/public/annotator/index.html में 'Window Message Event Handler' घटक में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता को उजागर करता है। यह भेद्यता हमलावरों को एप्लिकेशन में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है, जो अन्य उपयोगकर्ताओं के ब्राउज़रों में निष्पादित होती है। चूंकि भेद्यता को दूरस्थ रूप से शोषण किया जा सकता है, इसलिए जोखिम अधिक है, जिससे हमलावर संवेदनशील जानकारी चुरा सकते हैं, एप्लिकेशन के व्यवहार को संशोधित कर सकते हैं या उपयोगकर्ता खातों को भी संभाल सकते हैं। विक्रेता की प्रतिक्रिया की कमी से स्थिति और खराब हो गई है, जिससे उपयोगकर्ताओं को तत्काल आधिकारिक फिक्स नहीं मिल रहा है। एक्सप्लॉइट का सार्वजनिक खुलासा हमलों के जोखिम को बढ़ाता है, क्योंकि यह दुर्भावनापूर्ण अभिनेताओं के लिए इसे लागू करना आसान बनाता है।

Organizations utilizing wandb OpenUI version 1.0, particularly those with sensitive data displayed within the interface, are at risk. Teams relying on wandb for data visualization and collaboration should prioritize patching or implementing mitigation strategies. Shared hosting environments where multiple users share the same wandb OpenUI instance are also at increased risk.

• python / wandb: Inspect the frontend/public/annotator/index.html file for suspicious JavaScript code or injection points.

import os
import re

file_path = 'frontend/public/annotator/index.html'

with open(file_path, 'r') as f:
    content = f.read()

# Look for patterns indicative of XSS (e.g., <script> tags, eval(), etc.)
if re.search(r'<script.*?>.*?</script>', content, re.IGNORECASE):
    print(f"Potential XSS vulnerability detected in {file_path}")

1. 2026-03-28Disclosure

   disclosure

1. आरक्षित2026-03-27
2. प्रकाशित2026-03-28
3. संशोधित2026-04-01
4. EPSS अद्यतन2026-04-04

चूंकि विक्रेता से कोई फिक्स नहीं है, इसलिए तत्काल शमन महत्वपूर्ण है। OpenUI के नवीनतम संस्करण में जल्द से जल्द अपग्रेड करने की पुरजोर सिफारिश की जाती है। इस बीच, अतिरिक्त सुरक्षा उपायों को लागू किया जा सकता है, जैसे कि अविश्वसनीय स्रोतों से स्क्रिप्ट के निष्पादन को प्रतिबंधित करने के लिए सख्त सामग्री सुरक्षा नीति (CSP) लागू करना। नेटवर्क ट्रैफ़िक की बारीकी से निगरानी करना और उपयोगकर्ताओं को XSS के जोखिमों और संभावित हमलों की पहचान करने के तरीके के बारे में शिक्षित करना भी महत्वपूर्ण है। सभी उपयोगकर्ता इनपुट का सख्त सत्यापन और सैनिटाइजेशन दुर्भावनापूर्ण कोड इंजेक्शन को रोकने के लिए आवश्यक है। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करने पर विचार करने से अतिरिक्त सुरक्षा परत प्रदान की जा सकती है।