CVE-2026-80426 in FiftyOne
Resumen
por VulDB • 2026-08-26
FiftyOne renderiza la descripción de un campo del conjunto de datos como marcado (markup). El componente field-information de la barra lateral en app/packages/core/src/components/FieldLabelAndInfo/index.tsx pasa la cadena de descripción a dangerouslySetInnerHTML de React, y no hay ninguna capa entre el almacenamiento y la representación que escape o sanee dicha información; los valores informativos vecinos en el mismo componente se renderizan como hijos de React y están escapados, por lo que la descripción es la única ruta sin procesar. La descripción es un texto libre contenido en el esquema del conjunto de datos, por lo que persiste en la base de datos y viaja con un conjunto de datos exportado o publicado. Al abrir un conjunto de datos obtenido de otra parte y pasar el cursor sobre el campo, se ejecuta el marcado almacenado dentro del origen (origin) de la aplicación. Dicho origen es compartido con el servidor FiftyOne, cuya ruta multimedia devuelve el contenido de una ruta absoluta nombrada por el solicitante y que no requiere autenticación en la versión de código abierto; por lo tanto, el script inyectado puede leer archivos locales y acceder a los puntos finales del conjunto de datos y del operador como el usuario visualizador.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.