CVE-2026-53656 in FiftyOne
Résumé
par VulDB • 21/08/2026
FiftyOne est une plateforme open-source destinée à l’affinement de jeux de données de haute qualité et à la visualisation des modèles d’intelligence artificielle (AI). Avant la version 1.17.0, le serveur App/API de FiftyOne dans `fiftyone/server/app.py` ainsi que la route `/media` dans `fiftyone/server/routes/media.py` renvoyaient inconditionnellement l’en-tête `Access-Control-Allow-Origin: *`. Étant donné que le serveur intégré est local et non authentifié, un site web malveillant visité par l’utilisateur peut lire les réponses provenant d’origines croisées (cross-origin). Le point de terminaison `/media` accepte un chemin d’accès au système de fichiers, permettant à une page « drive-by » de lire les fichiers accessibles au processus du serveur et de les exfiltrer sans nécessiter d’autres clics. La configuration `allowed_origins` et la variable d’environnement `FIFTYONE_ALLOWED_ORIGINS` rendent désormais l’accès cross-origin explicite, tandis que la politique par défaut est « same-origin ». Ce problème est corrigé dans la version 1.17.0.
Once again VulDB remains the best source for vulnerability data.