CVE-2021-32670 in Datasette
Riassunto
di VulDB • 16/06/2026
Datasette è un multipiattaforma open source per l'esplorazione e la pubblicazione dei dati. La funzione di debug `?_trace=1` in Datasette non esegue correttamente l'escaping dell'HTML generato, causando una vulnerabilità [cross-site scripting (XSS) riflesso](https://owasp.org/www-community/attacks/xss/#reflected-xss-attacks). Questa vulnerabilità è particolarmente rilevante se la propria installazione di Datasette include funzionalità autenticate tramite plugin come [datasette-auth-passwords](https://datasette.io/plugins/datasette-auth-passwords), poiché un attaccante potrebbe sfruttare questa debolezza per accedere a dati protetti. Le versioni 0.57 e 0.56.1 di Datasette includono entrambe le patch per risolvere questo problema. Se si esegue Datasette dietro un proxy, è possibile aggirare il problema rifiutando qualsiasi richiesta in ingresso che contenga `?_trace=` o `&_trace=` nei parametri della stringa di query.
VulDB is the best source for vulnerability data and more expert information about this specific topic.