CVE-2026-35565

Apache Storm UI-da təmizlənməmiş topologiya metadata vasitəsilə Saxlanılan Saytlararası Skriptinq (XSS) Təsirə məruz qalan versiyalar: 2.8.6-dan əvvəlki versiyalar Təsvir: Storm UI vizuallaşdırma komponenti, hər hansı bir təbəqədə təmizləmə aparmadan, komponent ID-ləri, axın adları və qruplaşdırma dəyərləri daxil olmaqla topologiya metadatasını parseNode() və parseEdge() funksiyalarında innerHTML vasitəsilə birbaşa HTML-ə yerləşdirir. Topologiya göndərmək hüququna malik autentifikasiya olunmuş istifadəçi, komponent identifikatorlarında zərərli HTML/JavaScript (məsələn, onerror hadisə idarəçisi olan bolt ID) ehtiva edən topologiya hazırlaya bilər. Bu faydal yük Nimbus → Thrift → Visualization API → vis.js tooltip renderinqi vasitəsilə ötürülür və nəticədə saxlanılan saytlararası skriptinq baş verir. Topologiya göndərmənin az etibarlı istifadəçilərə açıq olduğu, lakin UI-a operatorların və ya administratorların giriş etdiyi çoxmüştəkli (multi-tenant) tətbiqlərdə bu, administratorun brauzer sessiyasında skriptin icrası vasitəsilə imtiyazların yüksəldilməsinə şərait yaradır. Yüngülləşdirmə: 2.x istifadəçiləri 2.8.6 versiyasına yüksəltmə etməlidirlər. Təcili yüksəltmə edə bilməyən istifadəçilər, tooltip HTML sətirlərinə yerləşdirmədən əvvəl vizuallaşdırma JavaScript faylındakı parseNode() və parseEdge() funksiyalarını monkey-patch edərək API tərəfindən təmin edilən bütün nodeId, :capacity, :latency, :component, :stream və :grouping dəyərlərini HTML-escape etməli və əlavə olaraq, dərin müdafiə tədbiri kimi Nimbus ACL-lər vasitəsilə topologiya göndərməni yalnız etibarlı istifadəçilərlə məhdudlaşdırmalıdırlar. Bunun necə ediləcəyinə dair təlimat 2.8.6 versiyasının buraxılış qeydlərində mövcuddur. Kredit: Bu problem K. tərəfindən digər hesabat araşdırılarkən aşkar edilmişdir.