XSS (Cross-Site Scripting) dans github.com/lf-edge/ekuiper/v… (CVE-2025-24978)

Résumé

XSS dans github.com/lf-edge/ekuiper/v2 (CVE-2025-24978). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /services. Atténuation : mise à jour vers 2.4.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

A Cross-Site Scripting (XSS) vulnerability in external service creation allows an authenticated attacker to inject HTML/script payloads into external service names, which may execute in a user's browser when rendered by administrative web interfaces.

Details

Prior to v2.4.0, external service registration endpoints did not strictly enforce alphanumeric character restrictions on service names. An operator or attacker with API access could register a service using a crafted name containing HTML elements (such as ``). If an administrative web UI rendered the unescaped service name, arbitrary script execution could occur in the context of the user's browser session.

PoC

Create an external service JSON definition with a filename containing an XSS payload, e.g. .json inside a ZIP archive.
In external service creation, upload the ZIP and provide the matching service name: ``.
Upon service registration, the unescaped name executes when rendered in the UI context.

Impact

Self-XSS / Stored XSS leading to potential session token leakage or unauthorized actions in the context of the affected user's browser session.

Remediation & Patches

Upgrade to eKuiper >= 2.4.0: Strict alphanumeric identifier validation (validate.ValidateID) is now enforced on all external service creation and update endpoints, rejecting invalid characters.

Workarounds

Protect eKuiper management endpoints (POST /services) with authentication and network-level…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2025-24978 a été découverte dans github.com/lf-edge/ekuiper/v2.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /services à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour github.com/lf-edge/ekuiper/v2 vers 2.4.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/lf-edge/ekuiper/v2 CVE-2025-24978 » sur le site de l'éditeur.

CVE-2025-24978 (github.com/lf-edge/ekuiper/v2) — CWE-79
Surface d'attaque : POST /services / validate.ValidateID
Correctif : 2.4.0 — appliquer immédiatement
Contournement : - Protect eKuiper management endpoints (POST /services) with authentication and network-level firewalls.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une XSS (CWE-79) affecte github.com/lf-edge/ekuiper/v2. Les attaquants atteignent le code vulnérable via POST /services.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de github.com/lf-edge/ekuiper/v2. Surface d'attaque : POST /services / validate.ValidateID.

🔥 Gravité

Gravité : ?. Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 2.4.0.

🛡️ Contournement

Contournement : - Protect eKuiper management endpoints (POST /services) with authentication and network-level firewalls.

🔍 Détection

Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers POST /services (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver github.com/lf-edge/ekuiper/v2.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r 'github.com/lf-edge/ekuiper/v2' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で github.com/lf-edge/ekuiper/v2 を grep し、稼働しているサービス・バージョンを把握する。
2
Hunt for indicators of compromise detect
```
grep 'POST /services' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'
```
アクセスログで POST /services への異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。
3
Apply temporary workaround mitigate
```
- Protect eKuiper management endpoints (`POST /services`) with authentication and network-level firewalls.
```
パッチが適用されるまでの応急処置として、- Protect eKuiper management endpoints (POST /services) with authentication and network-level firewalls. を実施。回避策の副作用 (機能低下) を確認した上で。
4
Apply patch patch
```
Upgrade github.com/lf-edge/ekuiper/v2 to 2.4.0
```
ステージング環境で 2.4.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。
5
Post-deployment verification verify
```
Replay attack against POST /services on staging to confirm patch closes the vector
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。

Paquets affectés

go github.com/lf-edge/ekuiper/v2

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.4.0"}]}]

XSS (Cross-Site Scripting) dans github.com/lf-edge/ekuiper/v2 (CVE-2025-24978)