Media

A stored cross-site scripting (XSS) vulnerability in Apache Spark 3.2.1 and earlier, and 3.3.0, allows remote attackers to execute arbitrary JavaScript in the web browser of a user, by including a mal

Publicada: 01.11.2022
Actualizado: 11.10.2026 12:20

A stored cross-site scripting (XSS) vulnerability in Apache Spark 3.2.1 and earlier, and 3.3.0, allows remote attackers to execute arbitrary JavaScript in the web browser of a user, by including a malicious payload into the logs which would be returned in logs rendered in the UI.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.apache.spark:spark-core_2.10	todas las versiones	sin corrección
Java / Kotlin (Maven)	org.apache.spark:spark-core_2.11	todas las versiones	sin corrección
Java / Kotlin (Maven)	org.apache.spark:spark-core_2.12	< 3.2.2, >= 3.3.0, < 3.3.1	3.2.2, 3.3.1
Java / Kotlin (Maven)	org.apache.spark:spark-core_2.13	< 3.2.2, >= 3.3.0, < 3.3.1	3.2.2, 3.3.1
Java / Kotlin (Maven)	org.apache.spark:spark-core_2.9.3	todas las versiones	sin corrección
Python (PyPI)	pyspark	< 3.2.2	3.2.2

Referencias

Puntuación CVSS 5.4/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE): CWE-74
Plataforma: Java / Kotlin (Maven), Python (PyPI)
Paquete: org.apache.spark:spark-core_2.10, org.apache.spark:spark-core_2.11, org.apache.spark:spark-core_2.12
Publicada: 01.11.2022
Actualizado: 11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-43xg-8wmj-cw8h - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2022-42976 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: org.apache.spark:spark-core_2.13

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 4
Primera → última: 11.2022 09.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 1
Media 2

Divulgaciones por año

2022: 1
2023: 1
2024: 0
2025: 0
2026: 2

02.09.2026

There is a lack of XSS escaping in the Spark History Server prior to 3.5.8 which allows a malicious Spark job to generate arbitrary unescaped frontend code which could lead to a minimal privilege esca

Media · 6.1 CVE-2026-32773 >= 3.0.0, < 3.5.8 3.5.8
16.03.2026

Apache Spark: Spark History Server Code Execution Vulnerability

Alta · 8.8 CVE-2025-54920 >= 4.0.0, < 4.0.1, < 3.5.7 4.0.1, 3.5.7
17.04.2023

In Apache Spark versions prior to 3.4.0, applications using spark-submit can specify a 'proxy-user' to run as, limiting privileges. The application can execute code with the privileges of the submitti

Crítica · 9.9 CVE-2023-22946 < 3.3.3 3.3.3
01.11.2022

A stored cross-site scripting (XSS) vulnerability in Apache Spark 3.2.1 and earlier, and 3.3.0, allows remote attackers to execute arbitrary JavaScript in the web browser of a user, by including a mal esta entrada

Media · 5.4 CVE-2022-31777 < 3.2.2, >= 3.3.0, < 3.3.1 3.2.2, 3.3.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación