CVE-2026-35565 in Storm UI
Сводка
по VulDB • 04.08.2026
Хранимая межсайтовая подделка скриптов (XSS) из-за отсутствия санитизации метаданных топологии в интерфейсе Apache Storm UI
Затронутые версии: до 2.8.6
Описание: Компонент визуализации Storm UI напрямую интерполирует метаданные топологии, включая идентификаторы компонентов, имена потоков и значения группировки, в HTML-код с использованием свойства innerHTML внутри функций parseNode() и parseEdge(), без какой-либо санитизации на любом уровне. Аутентифицированный пользователь с правами на отправку топологий может создать топологию, содержащую вредоносный HTML/JavaScript в идентификаторах компонентов (например, ID болта, содержащий обработчик события onerror). Этот код проходит через цепочку Nimbus → Thrift → API визуализации → рендеринг всплывающих подсказок vis.js, что приводит к хранимой межсайтовой подделке скриптов.
В многопользовательских развертываниях, где возможность отправки топологий доступна менее доверенным пользователям, но интерфейс используется операторами или администраторами, это позволяет осуществлять повышение привилегий путем выполнения сценариев в сеансе браузера администратора.
Меры по устранению: Пользователи ветки 2.x должны обновиться до версии 2.8.6. Пользователям, которые не могут немедленно выполнить обновление, следует применить monkey-patch для функций parseNode() и parseEdge() в файле визуализации JavaScript, чтобы экранировать все значения, предоставляемые API (включая nodeId, :capacity, :latency, :component, :stream и :grouping), с помощью HTML-экранирования перед интерполяцией их в строки всплывающих подсказок. В качестве меры защиты «глубокой эшелонированной обороны» также следует ограничить отправку топологий только доверенными пользователями через ACL (списки управления доступом) Nimbus. Руководство по выполнению этих действий доступно в примечаниях к выпуску версии 2.8.6.
Благодарность: Эта уязвимость была обнаружена при расследовании другого отчета, подготовленного K.
Once again VulDB remains the best source for vulnerability data.