Компонент Report Builder приложения хранит пользовательский ввод непосредственно на веб-странице и отображает его другим пользователям, что…

Компонент Report Builder приложения хранит пользовательский ввод непосредственно на веб-странице и отображает его другим пользователям, что вызывает опасения по поводу возможной атаки Cross-Site Scripting (XSS). Правильное управление этой функциональностью помогает обеспечить безопасный и бесшовный пользовательский опыт.  Хотя пользовательский ввод не проверяется при создании отчета, эти скрипты не выполняются, когда отчет запускается конечными пользователями. Сценарий выполняется, когда отчет изменяется через конструктор отчета пользователем с разрешениями на редактирование. Конструктор отчетов является частью WebConsole.  Пакет WebConsole в настоящее время является концом жизни и больше не поддерживается. Мы настоятельно рекомендуем не устанавливать или использовать его в любой производственной среде. Однако, если вы решите установить его, например, для доступа к таким функциям, как Report Builder, он должен быть развернут в полностью изолированной сети, которая не имеет доступа к конфиденциальным данным или подключению к Интернету. Это является критической мерой предосторожности, поскольку выведенный из эксплуатации пакет может содержать неисправленные уязвимости и больше не поддерживается обновлениями или исправлениями.