CVE-2026-80426 in FiftyOne
要約
〜によって VulDB • 2026年08月26日
FiftyOne は、データセットのフィールドの説明をマークアップとしてレンダリングします。app/packages/core/src/components/FieldLabelAndInfo/index.tsx にあるサイドバーの field-information コンポーネントは、説明文字列を React の dangerouslySetInnerHTML に渡しており、ストレージからレンダリングまでの間にそれをエスケープまたはサニタイズする層がありません。同じコンポーネント内の隣接する情報値は React チルドレンとしてレンダリングされエスケープされるため、説明が唯一の生（raw）パスとなります。説明はデータセットスキーマ内に保持される自由形式のテキストであるため、データベースに永続化され、エクスポートまたは公開されたデータセットと共に移動します。他者から取得したデータセットを開き、フィールド上にカーソルを合わせると、アプリケーションのオリジンで保存されたマークアップが実行されます。このオリジンは FiftyOne サーバーと共有されており、そのメディアルートは呼び出し元によって指定された絶対パスの内容を返すため、オープンソース版サーバーでは認証不要です。したがって、注入されたスクリプトはローカルファイルを読み取り、閲覧ユーザーとしてデータセットおよびオペレーターエンドポイントにアクセスできます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.