CVE-2026-35565

إصدارات Apache Storm الأقدم من 2.8.6

يقوم مكون التصور في واجهة مستخدم Storm بإدراج بيانات التعريف الخاصة بالطوبولوجيا، مثل معرّفات المكونات وأسماء التدفقات وقيم التجميع، مباشرةً في HTML عبر innerHTML في الدالتين parseNode() وparseEdge() دون إجراء أي تنقية. يمكن للمستخدم المصادق عليه الذي يتمتع بحقوق إرسال التوبولوجيا إنشاء توبولوجيا تحتوي على HTML أو JavaScript ضار في معرّفات المكونات. يتم نقل هذه الحمولة عبر Nimbus و Thrift وواجهة برمجة تطبيقات التصور (Visualization API) إلى عرض تلميح أداة vis.js، مما يؤدي إلى تنفيذ برمجة نصية عبر المواقع المخزنة. في عمليات النشر متعددة المستأجرين، قد يؤدي ذلك إلى تصعيد الامتيازات إذا تم الوصول إلى واجهة المستخدم من قبل المشغلين أو المسؤولين.

قم بالترقية إلى الإصدار 2.8.6.

كحل مؤقت، قم بتعديل الدالتين parseNode() وparseEdge() في ملف JavaScript الخاص بالتصور لتشفير جميع القيم المقدمة من واجهة برمجة التطبيقات (API) برموز HTML، بما في ذلك nodeId و:capacity و:latency و:component و:stream و:grouping قبل إدراجها في سلاسل HTML الخاصة بنصوص تلميحات الأدوات.

قم بتقييد إرسال التوبولوجيا على المستخدمين الموثوق بهم عبر قوائم التحكم في الوصول (ACLs) في Nimbus كإجراء دفاعي متعدد المستويات.