CVE-2026-53656

FiftyOne, yüksek kaliteli veri kümelerini ve görsel AI modellerini iyileştirmeye yönelik açık kaynaklı bir platformdur. 1.17.0 sürümünden önce, fiftyone/server/app.py içindeki FiftyOne App/API sunucusu ve fiftyone/server/routes/media.py içindeki /media rotası koşulsuz olarak Access-Control-Allow-Origin: * döndürüyordu. Gömülü sunucu yerel ve kimlik doğrulamasız olduğundan, kullanıcının ziyaret ettiği kötü niyetli bir web sitesi siteler arası yanıtları okuyabilir. /media uç noktası bir dosya sistemi yolu kabul ettiğinden, sürükle-bırak bir sayfanın sunucu sürecinin erişebildiği dosyaları okumasına ve ek tıklama olmadan bunları sızdırmasına olanak tanır. allowed_origins yapılandırması ve FIFTYONE_ALLOWED_ORIGINS ortam değişkeni artık siteler arası erişimi açık hale getirirken, varsayılan politika aynı kaynaktır. Bu sorun 1.17.0 sürümünde düzeltilmiştir.