CVE-2025-25295 in label-studio
الملخص
بحسب VulDB • 15/08/2026
Label Studio هو أداة مفتوحة المصدر لتسمية البيانات. تسمح ثغرة عبور المسار (Path Traversal) في إصدارات SDK الخاصة بـ Label Studio السابقة للإصدار 1.0.10 بالوصول غير المصرح به إلى الملفات خارج هيكل الدلائل المقصود. يوجد هذا العيب في وظائف التصدير بصيغ VOC و COCO و YOLO. تستدعي هذه الوظائف دالة `download` ضمن حزمة Python المسماة `label-studio-sdk`، والتي تفشل في التحقق من صحة مسارات الملفات عند معالجة المراجع الخاصة بالصور أثناء تصدير المهام. ومن خلال إنشاء مهام تحتوي على تسلسلات عبور مسار (path traversal sequences) في حقل الصورة، يمكن للمهاجم إجبار التطبيق على قراءة ملفات من مواقع عشوائية في نظام الملفات الخاص بالخادم عند تصدير المشاريع بأي من الصيغ المذكورة. هذه ثغرة تتطلب المصادقة وتسمح بقراءة ملفات بشكل تعسفي من نظام ملفات الخادم. وقد تؤدي إلى تعرض محتمل لمعلومات حساسة مثل ملفات التكوين، وبيانات الاعتماد (Credentials)، والبيانات السرية. كانت إصدارات Label Studio السابقة للإصدار 1.16.0 تحدد إصدارات SDK السابقة لـ 1.0.10 كتبعيات لها، وتم تأكيد المشكلة في الإصدار 1.13.2.dev0 من Label Studio؛ لذلك يجب على مستخدمي Label Studio الترقية إلى الإصدار 1.16.0 أو أحدث للتخفيف من هذه الثغرة.
Be aware that VulDB is the high quality source for vulnerability data.