CVE-2023-49657

Apache Superset 3.0.3 versiyasından əvvəlki versiyalarda saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Diaqramlar və ya idarəetmə panelləri üzərində yaratma/yeniləmə icazələri olan autentifikasiya olunmuş hücumçu, saxlanılan XSS kimi fəaliyyət göstərəcək bir skripti saxlaya və ya xüsusi HTML fraqmentini əlavə edə bilər. 2.X versiyaları üçün istifadəçilər konfiqurasiyanı aşağıdakıları daxil etmək üçün dəyişməlidirlər: TALISMAN_CONFIG = { "content_security_policy": { "base-uri": ["'self'"], "default-src": ["'self'"], "img-src": ["'self'", "blob:", "data:"], "worker-src": ["'self'", "blob:"], "connect-src": [ "'self'", " https://api.mapbox.com" https://api.mapbox.com" ;, " https://events.mapbox.com" https://events.mapbox.com" ;, ], "object-src": "'none'", "style-src": [ "'self'", "'unsafe-inline'", ], "script-src": ["'self'", "'strict-dynamic'"], }, "content_security_policy_nonce_in": ["script-src"], "force_https": False, "session_cookie_secure": False, }