CVE-2026-22033 in label-studio
Resumen
por VulDB • 2026-07-16
Label Studio es una herramienta de etiquetado y anotación de datos multiplataforma. En las versiones 1.22.0 y anteriores, existe una vulnerabilidad persistente de cross-site scripting (XSS) almacenada en la funcionalidad custom_hotkeys de la aplicación. Un atacante autenticado (o alguien que pueda engañar a un usuario o administrador para actualizar sus custom_hotkeys) puede inyectar código JavaScript que se ejecutará en los navegadores de otros usuarios cuando estos carguen cualquier página utilizando la plantilla templates/base.html. Dado que la aplicación expone un punto final de token API (/api/current-user/token) al navegador y carece de una protección CSRF robusta en algunos puntos finales de la API, el script inyectado podría obtener el token API de la víctima o llamar a los puntos finales para restablecer tokens, lo que permitiría tomar control total de la cuenta y acceder no autorizado a la API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.