CVE-2026-76073

Label Studio annotasiya detalları son nöqtəsini (endpoint) sorğu göndərən istifadəçinin təşkilatı ilə məhdudlaşdırmır. label_studio/tasks/api.py faylındakı AnnotationAPI `queryset = Annotation.objects.all()` şəklində elan edir və heç bir `get_queryset` override-i təmin etmir, buna görə də standart axtarış hər hansı annotasiyanı primary key vasitəsilə əldə edir. View-nun `permission_required` bölmələrində `annotations.view`, `annotations.change` və `annotations.delete` qeyd olunub və label_studio/core/permissions.py hər bir icazəni `rules.is_authenticated` ilə qeydiyyata alır, beləliklə yoxlama hər hansı daxil olmuş hesab tərəfindən təmin edilir və obyekt səviyyəsində təşkilat testi həyata keçirilmir. Paralel tapşırıq son nöqtəsi öz queryset-ini sorğu göndərənin aktiv təşkilatına uyğun olaraq `project__organization` ilə məhdudlaşdırır ki, bu da sözügedən yolun ötürdüyü sərhəddir. Annotasiya identifikatorları ardıcıl tam ədədlərdir, buna görə də bir təşkilatın autentifikasiya olunmuş istifadəçisi eyni instansiyadakı digər təşkilatlara məxsus annotasiyaları oxumaq, dəyişdirmək və silmək üçün identifikatorları sadalayabilir. Eynilə məhdudiyyətsiz queryset həmin fayldakı AnnotationConvertAPI-da da mövcuddur.