CVE-2026-35565

Apache Storm UI'da Temizlenmemiş Topoloji Metaverileri Aracılığıyla Depolanan Siteler Arası Betik Çalıştırma (XSS) Etkilenen Versiyonlar: 2.8.6 öncesi Açıklama: Storm UI görselleştirme bileşeni; bileşen kimlikleri, akış adları ve gruplandırma değerlerini içeren topoloji metaverilerini, herhangi bir katmanda temizleme işlemi yapmadan parseNode() ve parseEdge() içindeki innerHTML aracılığıyla doğrudan HTML'e yerleştirmektedir. Topoloji gönderme haklarına sahip kimliği doğrulanmış bir kullanıcı, bileşen tanımlayıcılarında kötü amaçlı HTML/JavaScript içeren (örneğin, bir onerror olay işleyicisi içeren bir bolt ID) bir topoloji oluşturabilir. Bu yük, Nimbus → Thrift → Görselleştirme API'si → vis.js araç ipucu işlemesi üzerinden akarak depolanan siteler arası betik çalıştırmaya neden olur. Topoloji gönderiminin daha az güvenilir kullanıcılara açık olduğu ancak arayüzün operatörler veya yöneticiler tarafından erişildiği çok kiracılı dağıtımlarda bu durum, bir yöneticinin tarayıcı oturumunda betik çalıştırılması yoluyla yetki yükseltmeye olanak tanır. Azaltma: 2.x kullanıcıları 2.8.6 sürümüne yükseltmelidir. Hemen yükseltme yapamayan kullanıcılar, görselleştirme JavaScript dosyasındaki parseNode() ve parseEdge() fonksiyonlarını, nodeId, :capacity, :latency, :component, :stream ve :grouping dahil olmak üzere API tarafından sağlanan tüm değerleri araç ipucu HTML dizilerine yerleştirmeden önce HTML-kaçış karakterlerine dönüştürecek şekilde yamalamalı ve ek olarak derinlemesine savunma önlemi olarak topoloji gönderimini Nimbus ACL'leri aracılığıyla yalnızca güvenilir kullanıcılarla sınırlandırmalıdır. Bunun nasıl yapılacağına dair bir kılavuz 2.8.6 sürüm notlarında mevcuttur. Kredi: Bu sorun, K. tarafından yapılan başka bir rapor incelenirken keşfedilmiştir.