CVE-2026-35565 in Storm UI
Sumário
de VulDB • 10/05/2026
Stored Cross-Site Scripting (XSS) via Unsanitized Topology Metadata in Apache Storm UI
Versões Afetadas: anteriores à 2.8.6
Descrição: O componente de visualização da Storm UI interpola metadados de topologia, incluindo IDs de componentes, nomes de streams e valores de agrupamento, diretamente no HTML via innerHTML nas funções parseNode() e parseEdge(), sem sanitização em nenhuma camada. Um usuário autenticado com direitos de submissão de topologia poderia criar uma topologia contendo HTML/JavaScript malicioso nos identificadores de componentes (por exemplo, um ID de bolt contendo um manipulador de evento onerror). Essa carga útil flui através de Nimbus → Thrift → a API de Visualização → renderização de tooltip do vis.js, resultando em stored cross-site scripting.
Em implantações multi-tenant onde a submissão de topologia está disponível para usuários menos confiáveis, mas a UI é acessada por operadores ou administradores, isso permite escalonamento de privilégios por meio da execução de scripts na sessão do navegador de um administrador.
Mitigação: Usuários da série 2.x devem atualizar para a versão 2.8.6. Usuários que não puderem atualizar imediatamente devem aplicar um monkey-patch nas funções parseNode() e parseEdge() no arquivo JavaScript de visualização para escapar HTML de todos os valores fornecidos pela API, incluindo nodeId, :capacity, :latency, :component, :stream e :grouping, antes da interpolação nas strings HTML dos tooltips, e devem adicionalmente restringir a submissão de topologia a usuários confiáveis por meio de ACLs do Nimbus como uma medida de defesa em profundidade. Um guia sobre como fazer isso está disponível nas notas de lançamento da 2.8.6.
Créditos: Esta vulnerabilidade foi descoberta durante a investigação de outro relatório por K.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.