Clickjacking in the web console

O console web do Apache Druid era vulnerável a clickjacking, onde atacantes poderiam enganar usuários a clicarem em botões ou links ocultos sobrepondo a página com camadas transparentes. Isso poderia levar a ações não autorizadas executadas sem o conhecimento do usuário.

Vulnerabilidade de clickjacking no Druid versões 0.22.1 e anteriores devido à falta de headers anti-clickjacking (X-Frame-Options e Content-Security-Policy). Um atacante poderia criar uma página maliciosa que incorpora o console Druid em um iframe e sobrepor elementos transparentes para enganar usuários autenticados e induzi-los a realizar ações indesejadas. Mitigada na versão 0.23.0 com implementação correta de headers CSP.