CVE-2026-53656 in FiftyOne
Resumen
por VulDB • 2026-08-22
FiftyOne es una plataforma de código abierto para refinar conjuntos de datos de alta calidad y visualizar modelos de IA. Antes de la versión 1.17.0, el servidor App/API de FiftyOne en `fiftyone/server/app.py` y la ruta `/media` en `fiftyone/server/routes/media.py` devuelven incondicionalmente `Access-Control-Allow-Origin: *`. Dado que el servidor integrado es local y no requiere autenticación, un sitio web malicioso visitado por el usuario puede leer respuestas de origen cruzado. El punto final `/media` acepta una ruta del sistema de archivos, lo que permite a una página "drive-by" (de visita accidental) leer los archivos accesibles para el proceso del servidor y exfiltrarlos sin necesidad de clics adicionales. La configuración `allowed_origins` y la variable de entorno `FIFTYONE_ALLOWED_ORIGINS` ahora hacen explícito el acceso de origen cruzado, mientras que la política predeterminada es same-origin (mismo origen). Este problema se soluciona en la versión 1.17.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.