CVE-2026-4995 wandb OpenUI XSS 漏洞，影响版本

CVE-2026-4995 影响 wandb OpenUI 的 1.0 及更早版本，在 frontend/public/annotator/index.html 中的 'Window Message Event Handler' 组件中暴露了一个跨站脚本 (XSS) 漏洞。 此漏洞允许攻击者将恶意脚本注入到应用程序中，这些脚本将在其他用户的浏览器中执行。 由于漏洞可以远程利用，因此风险很高，攻击者可以窃取敏感信息、修改应用程序行为，甚至接管用户帐户。 供应商未响应披露情况，这加剧了情况，使用户没有立即的官方修复。 公开披露的漏洞增加了攻击的风险，因为它便于恶意行为者实施。

Organizations utilizing wandb OpenUI version 1.0, particularly those with sensitive data displayed within the interface, are at risk. Teams relying on wandb for data visualization and collaboration should prioritize patching or implementing mitigation strategies. Shared hosting environments where multiple users share the same wandb OpenUI instance are also at increased risk.

• python / wandb: Inspect the frontend/public/annotator/index.html file for suspicious JavaScript code or injection points.

import os
import re

file_path = 'frontend/public/annotator/index.html'

with open(file_path, 'r') as f:
    content = f.read()

# Look for patterns indicative of XSS (e.g., <script> tags, eval(), etc.)
if re.search(r'<script.*?>.*?</script>', content, re.IGNORECASE):
    print(f"Potential XSS vulnerability detected in {file_path}")

1. 2026-03-28Disclosure

   disclosure

1. 已保留2026-03-27
2. 发布日期2026-03-28
3. 修改日期2026-04-01
4. EPSS 更新日期2026-04-04

由于供应商没有提供修复程序，因此立即缓解至关重要。 强烈建议尽快升级到 OpenUI 的最新版本。 同时，可以实施额外的安全措施，例如应用严格的内容安全策略 (CSP) 以限制从不可信来源执行脚本。 密切监控网络流量以查找可疑活动，并教育用户了解 XSS 的风险以及如何识别潜在攻击也很重要。 对所有用户输入进行严格验证和清理对于防止恶意代码注入至关重要。 考虑使用 Web 应用程序防火墙 (WAF) 可以提供额外的保护层。