CVE-2025-25295

Label Studio açıq mənbəli məlumat etiketləmə alətidir. Label Studio SDK-nın 1.0.10 versiyasından əvvəlki versiyalarında mövcud olan yol keçidi (path traversal) zəifliyi, nəzərdə tutulmuş kataloq strukturundan kənarda olan fayllara icazəsiz girişə şərait yaradır. Bu çatışmazlıq VOC, COCO və YOLO eksport funksionallıqlarında mövcuddur. Həmin funksiyalar `label-studio-sdk` python paketindəki `download` funksiyasını çağırır və bu funksiya tapşırıqların eksportu zamanı şəkil istinadlarını emal edərkən fayl yollarını yoxlamaqda uğursuz olur. Şəkil sahəsində yol keçidi ardıcıllıqları olan tapşırıqlar yaratmaqla hücumçu, layihələri qeyd olunan formatlardan hər hansı birində eksport edərkən tətbiqi server fayl sisteminin ixtiyari yerlərindən faylları oxumağa məcbur edə bilər. Bu, autentifikasiya tələb edən və server fayl sistemindən ixtiyari faylların oxunmasına imkan verən zəiflikdir. Bu, konfiqurasiya faylları, etibarnamələr və məxfi məlumatlar kimi həssas məlumatların ifşa olunmasına səbəb ola bilər. Label Studio-nun 1.16.0-dan əvvəlki versiyaları asılıliklər kimi SDK-nın 1.0.10-dan əvvəlki versiyalarını təyin etmişdi və problem Label Studio-nun 1.13.2.dev0 versiyasında təsdiqlənmişdir; buna görə də, Label Studio istifadəçiləri problemi aradan qaldırmaq üçün 1.16.0 və ya daha yeni versiyaya yüksəltmə etməlidirlər.