Vulnerabilidad en Querybook (CVE-2024-26148)

Querybook es una interfaz de usuario para consultar big data. Antes de la versión 3.31.1, había una vulnerabilidad en el editor de texto enriquecido de Querybook que permitía a los usuarios ingresar URL arbitrarias sin someterse a la validación necesaria. Esta falla de seguridad particular permite el uso del protocolo `javascript:` que potencialmente puede desencadenar una ejecución arbitraria del lado del cliente. La explotación más extrema de esta falla podría ocurrir cuando un usuario administrador, sin saberlo, hace clic en una URL de Cross-Site Scripting, comprometiendo así involuntariamente el acceso de la función de administrador al atacante. Se introdujo un parche para rectificar este problema en la versión de Querybook `3.31.1`. La solución es compatible con versiones anteriores y corrige automáticamente los DataDocs existentes. No existen workarounds para este problema, excepto verificar manualmente cada URL antes de hacer clic en ellas.