Simonw

**Name of the Vulnerable Software and Affected Versions** Datasette versions 1.0a0 through 1.0a3 **Description** The issue affects Datasette instances running in an online accessible location with authentication enabled using a plugin such as datasette-auth-passwords. The `/-/api` API endpoint could reveal the names of both databases and tables, but not their contents, to an unauthenticated user. Datasette 1.0a4 has a fix for this issue, which blocks access to the API explorer but still allows access to the Datasette read or write JSON APIs. **Recommendations** For versions 1.0a0 through 1.0a3, update to version 1.0a4 to resolve the issue. As a temporary workaround for versions 1.0a0 through 1.0a3, block all traffic to the `/-/api` endpoint, which can be done with a proxy such as Apache or NGINX, or by installing the datasette-block plugin and adding the necessary configuration to your metadata.json or metadata.yml file.

**Nome do software vulnerável e versões afetadas** Versões do Datasette anteriores à 0.56.1 Versões do Datasette anteriores à 0.57 **Descrição** O recurso de depuração `? trace=1` no Datasette não escapa corretamente o HTML gerado, resultando em um problema de cross-site scripting refletido. Isso é particularmente relevante se a instalação do Datasette incluir recursos autenticados usando plug-ins como o `datasette-auth-passwords`, pois um invasor poderia usar a vulnerabilidade para acessar dados protegidos. **Recomendações** Para versões anteriores à 0.56.1, atualize para a versão 0.56.1 ou posterior para resolver o problema. Para versões anteriores à 0.57, atualize para a versão 0.57 ou posterior para resolver o problema. Como solução alternativa temporária, considere rejeitar quaisquer solicitações recebidas com `? trace=` ou `& trace=` nos parâmetros da string de consulta se você executar o Datasette por trás de um proxy.