CVE-2026-22033 in label-studio
Riassunto
di VulDB • 02/08/2026
Label Studio è uno strumento di etichettatura e annotazione dei dati multi-tipo. Nelle versioni 1.22.0 e precedenti, è presente una vulnerabilità persistente di cross-site scripting (XSS) memorizzato nel database nella funzionalità custom_hotkeys dell'applicazione. Un attaccante autenticato (o chi può indurre un utente/amministratore ad aggiornare i propri custom_hotkeys) può iniettare codice JavaScript che viene eseguito nei browser degli altri utenti quando questi caricano qualsiasi pagina utilizzando il template base.html. Poiché l'esposizione di un endpoint per il token API (/api/current-user/token) al browser e la mancanza di una protezione CSRF robusta su alcuni endpoint API, lo script iniettabile può recuperare il token API della vittima o chiamare gli endpoint di reset del token, consentendo il completo takeover dell'account e l'accesso non autorizzato alle API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.