CVE-2024-37306

Computer Vision Annotation Tool (CVAT), bilgisayarlı görü için etkileşimli bir video ve görüntü etiketleme aracıdır. Versiyon 2.2.0'dan başlayarak versiyon 2.14.3 öncesine kadar olan sürümlerde, bir saldırgan oturum açmış bir CVAT kullanıcısını kötü amaçlı bir URL'yi ziyaret etmeye ikna edebilirse; mağdur kullanıcının dışa aktarma iznine sahip olduğu bir projeden, görevden veya işten, yine mağdur kullanıcının erişimi olan bir bulut depolama alanına veri kümesi dışa aktarımını veya yedeklemesini başlatabilir. Oluşan dosyanın adı saldırgan tarafından seçilebilir. Bu durum, saldırganın mağdurun erişebildiği herhangi bir bulut depolama alanındaki rastgele dosyaların üzerine yazabileceği anlamına gelir ve eğer saldırgan saldırıda kullanılan bulut depolama alanına okuma erişimine sahipse, mağdurun dışa aktarma izni olan tüm proje, görev veya işlerden medya dosyalarını, etiketlemeleri, ayarları ve diğer bilgileri elde edebilir. Versiyon 2.14.3 bu sorun için bir düzeltme içermektedir. Bilinen bir geçici çözüm mevcut değildir.