CVE-2026-80426

FiftyOne, bir veri kümesi alanının açıklamasını biçimlendirme olarak işler. app/packages/core/src/components/FieldLabelAndInfo/index.tsx konumundaki kenar çubuğu alan bilgisi bileşeni, açıklama dizesini React'in dangerouslySetInnerHTML öğesine geçirir ve depolama ile işleme arasındaki hiçbir katman bunu kaçış dizisine dönüştürmez veya temizlemez; aynı bileşendeki komşu bilgi değerleri React alt öğeleri olarak işlenir ve kaçış dizisine dönüştürülür, dolayısıyla açıklama tek ham yoldur. Açıklama, veri kümesi şemasında tutulan serbest biçimli bir metindir, bu nedenle veritabanında kalıcı olur ve dışa aktarılan veya yayımlanan bir veri kümesiyle birlikte taşınır. Başka bir taraftan elde edilen bir veri kümesini açıp alanın üzerine gelindiğinde, depolanan biçimlendirme uygulamanın kaynağında çalıştırılır. Bu kaynak, medya rotası çağıran tarafından adlandırılan mutlak bir yolun içeriğini döndüren ve açık kaynak sunucuda kimlik doğrulaması yapılmayan FiftyOne sunucusuyla paylaşılır, bu nedenle enjekte edilen betik yerel dosyaları okuyabilir ve görüntüleyen kullanıcı olarak veri kümesi ve operatör uç noktalarına erişebilir.