CVE-2025-24978

Nome do Software Vulnerável e Versões Afetadas eKuiper versões anteriores a 2.4.0

Description Um problema de Cross-Site Scripting (XSS) existe no processo de criação de serviços externos. Atacantes autenticados podem injetar payloads de HTML ou script em nomes de serviços externos, pois os endpoints de registro não aplicavam rigorosamente restrições de caracteres alfanuméricos. Se uma interface web administrativa renderizar esses nomes sem a devida sanitização, scripts arbitrários podem ser executados na sessão do navegador do usuário, levando potencialmente ao vazamento de tokens de sessão ou ações não autorizadas. Isso ocorre quando um nome manipulado, como um contendo um elemento <iframe>, é fornecido durante o registro do serviço.

Recommendations Atualize para a versão 2.4.0 ou posterior do eKuiper. Proteja os endpoints de gerenciamento, especificamente POST /services, utilizando autenticação e firewalls de nível de rede.