CVE-2026-22033
Təsvir
Label Studio çoxtipli məlumat etiketləmə və annotasiya alətidir. 1.22.0 və daha əvvəlki versiyalarda tətbiqin custom_hotkeys funksionallığında qalıcı saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Autentifikasiya olunmuş hücumçu (və ya istifadəçini/administratoru custom_hotkeys parametrlərini yeniləməyə sövq edə bilən şəxs), digər istifadəçilər templates/base.html şablonundan istifadə edən hər hansı səhifəni yüklədikdə onların brauzerlərində icra olunan JavaScript kodu yerləşdirə bilər. Tətbiq brauzerə API token son nöqtəsini (/api/current-user/token) açdığı və bəzi API son nöqtələrində güclü CSRF mühafizəsinin olmadığı üçün, yerləşdirilmiş skript qurbanın API tokenini əldə edə və ya token sıfırlama son nöqtələrini çağıra bilər ki, bu da hesabın tam ələ keçirilməsinə və API-yə icazəsiz girişə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| humansignal label_studio | v ≤ 1.22.0 | — |
| label-studioPyPI | v ≤ 1.22.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.