Apache Superset：仪表板标题和图表标题中存储的 XSS (CVE-2023-49657)

admin

0
文章

0
评论

2024-01-25 16:53:34 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

Apache Superset：仪表板标题和图表标题中存储的 XSS (CVE-2023-49657)

CVE编号

CVE-2023-49657

利用情况

暂无

补丁情况

N/A

披露时间

2024-01-23

漏洞描述

在 Apache Superset 3.0.3 之前的版本中存在存储型跨站脚本攻击（XSS）漏洞。具有图表或仪表板的创建/更新权限的经过身份验证的攻击者可以存储脚本或添加特定的 HTML 代码片段，该代码片段将作为存储型 XSS 攻击。对于 2.X 版本的用户，应更改其配置以包含：TALISMAN_CONFIG = { "content_security_policy": { "base-uri": ["'self'"], "default-src": ["'self'"], "img-src": ["'self'", "blob:", "data:"], "worker-src": ["'self'", "blob:"], "connect-src": ["'self'", "https://api.mapbox.com", "https://events.mapbox.com"], "object-src": "'none'", "style-src": ["'self'", "'unsafe-inline'",], "script-src": ["'self'", "'strict-dynamic'"], }, "content_security_policy_nonce_in": ["script-src"], "force_https": False, "session_cookie_secure": False, }