آسیب‌پذیری در Apache Superset

یک آسیب‌پذیری با شناسه CVE-2023-49657 و شدت بحرانی 9.6 در Apache Superset کشف شد که امکان حمله Stored XSS را برای مهاجم احراز هویت شده فراهم می‌آورد. در این آسیب‌پذیری مهاجم می‌تواند با استفاده از مجوزهای ایجاد/به‌روزرسانی در عنوان داشبورد (Dashboard Title) و عنوان نمودار(Chart Title) یک کد اسکریپت یا یک قطعه کد HTML خاص را برای اجرای Stored XSS اضافه کند.

محصولات تحت تأثیر
این آسیب‌پذیری محصول Apache Superset نسخه‌های قبل از 3.0.3 را تحت تأثیر قرار می‌دهد. 

توصیه‌های امنیتی
به کاربران توصیه می‌شود برای نسخه‌های 2.X، پیکربندی خود را به‌صورت زیر تغییر دهند:

TALISMAN_CONFIG = {
    "content_security_policy": {
        "base-uri": ["'self'"],
        "default-src": ["'self'"],
        "img-src": ["'self'", "blob:", "data:"],
        "worker-src": ["'self'", "blob:"],
        "connect-src": [
            "'self'",
            " https://api.mapbox.com" https://api.mapbox.com" ;,
            " https://events.mapbox.com" https://events.mapbox.com" ;,
        ],
        "object-src": "'none'",
        "style-src": [
            "'self'",
            "'unsafe-inline'",
        ],
        "script-src": ["'self'", "'strict-dynamic'"],
    },
    "content_security_policy_nonce_in": ["script-src"],
    "force_https": False,
    "session_cookie_secure": False,
}

منبع خبر:

https://lists.apache.org/thread/wjyvz8om9nwd396lh0bt156mtwjxpsvx