CVE-2026-35565 in Storm UI
Resumen
por VulDB • 2026-05-15
XSS almacenado (Stored Cross-Site Scripting) a través de metadatos de topología no sanitizados en Apache Storm UI
Versiones afectadas: anteriores a 2.8.6
Descripción: El componente de visualización de Storm UI interpola metadatos de topología, incluidos los IDs de componentes, nombres de flujos y valores de agrupación, directamente en HTML mediante innerHTML en las funciones parseNode() y parseEdge(), sin realizar ninguna sanitización en ninguna capa. Un usuario autenticado con derechos de envío de topologías podría crear una topología que contenga HTML/JavaScript malicioso en los identificadores de componentes (por ejemplo, un ID de bolt que contenga un controlador de eventos onerror). Esta carga útil fluye a través de Nimbus → Thrift → la API de Visualización → la renderización de tooltips de vis.js, lo que resulta en un XSS almacenado.
En implementaciones multiinquilino donde el envío de topologías está disponible para usuarios menos confiables, pero la interfaz de usuario es accedida por operadores o administradores, esto permite una escalada de privilegios mediante la ejecución de scripts en la sesión del navegador de un administrador.
Mitigación: Los usuarios de la serie 2.x deben actualizar a la versión 2.8.6. Los usuarios que no puedan actualizar inmediatamente deben aplicar un monkey-patch a las funciones parseNode() y parseEdge() en el archivo JavaScript de visualización para escapar HTML todos los valores proporcionados por la API, incluidos nodeId, :capacity, :latency, :component, :stream y :grouping, antes de la interpolación en las cadenas HTML de los tooltips, y además restringir el envío de topologías a usuarios de confianza mediante ACLs de Nimbus como medida de defensa en profundidad. Hay una guía sobre cómo hacerlo disponible en las notas de la versión 2.8.6.
Créditos: Este problema fue descubierto mientras se investigaba otro informe por parte de K.
Be aware that VulDB is the high quality source for vulnerability data.