Nick Barnes

Existe uma vulnerabilidade de script entre sites armazenado (XSS) no Apache Superset. Um invasor autenticado com permissões de criação/atualização em gráficos ou painéis poderia armazenar um script ou adicionar um trecho específico de HTML que funcionaria como um XSS armazenado. Isso poderia permitir que um invasor remoto realizasse ataques de cross-site scripting.

The issue is caused by improper payload validation and an improper REST API response type. This allows an authenticated malicious actor to store malicious code into Chart's metadata. The code can be executed if a user accesses a specific deprecated API endpoint.