PT-2024-1499 · Apache · Apache Superset

Amit Laish + 1 · Publicado 2024-01-23 · Atualizado 2025-02-05 · CVE-2023-49657

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Superset anteriores à 3.0.3

Descrição

Existe uma vulnerabilidade de script entre sites armazenado (XSS) no Apache Superset. Um invasor autenticado com permissões de criação/atualização em gráficos ou painéis poderia armazenar um script ou adicionar um trecho específico de HTML que funcionaria como um XSS armazenado. Isso poderia permitir que um invasor remoto realizasse ataques de cross-site scripting.

Recomendações

Para versões anteriores à 3.0.3, atualize para a versão 3.0.3 ou posterior para resolver o problema.

Para versões 2.X, os usuários devem alterar sua configuração para incluir as definições TALISMAN CONFIG especificadas a fim de mitigar o risco.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2024-01007

BIT-SUPERSET-2023-49657

CVE-2023-49657

GHSA-RWHH-6X83-84V6

Produtos afetados

Apache Superset

Referências · 16

• https://github.com/apache/superset · Nota
• https://lists.apache.org/thread/wjyvz8om9nwd396lh0bt156mtwjxpsvx · Aviso do Fabricante
• https://t.me/pentestingnews/43044 · Publicação no Telegram
• https://twitter.com/qualys/status/1750545101510631752 · Publicação no Twitter
• https://twitter.com/Komodosec/status/1750680095193456717 · Publicação no Twitter
• https://vuldb.com/ru/?id.252401 · Nota
• https://t.me/cvenotify/69093 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2024-01007 · Nota de Segurança
• https://t.me/cvenotify/68422 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-49657 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-49657 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-superset-2023-49657 · Aviso do Fabricante
• https://twitter.com/fridaysecurity/status/1750370538671714751 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/01/23/5 · Nota
• https://osv.dev/vulnerability/GHSA-rwhh-6x83-84v6 · Aviso do Fabricante