CVE-2025-25296 in label-studio
Sumário
de VulDB • 23/05/2026
O Label Studio é uma ferramenta de rotulagem de dados de código aberto. Antes da versão 1.16.0, o endpoint `/projects/upload-example` do Label Studio permite a injeção de HTML arbitrário por meio de uma requisição `GET` com um parâmetro de consulta `label_config` adequadamente manipulado. Ao criar uma configuração de rótulo XML com formato especial contendo dados de tarefa inline com HTML/JavaScript malicioso, um atacante pode realizar uma Cross-Site Scripting (XSS). Embora a aplicação possua uma Política de Segurança de Conteúdo (CSP), ela está definida apenas no modo report-only, tornando-a ineficaz para impedir a execução de scripts. A vulnerabilidade existe porque o endpoint upload-example renderiza conteúdo HTML fornecido pelo usuário sem a devida sanitização em uma requisição GET. Isso permite que os invasores injetem e executem JavaScript arbitrário nos navegadores das vítimas ao levá-las a visitar uma URL maliciamente elaborada. Isso é considerado vulnerável porque permite que os atacantes executem JavaScript nos contextos das vítimas, potencialmente permitindo o roubo de dados sensíveis, sequestro de sessão ou outras ações maliciosas. A versão 1.16.0 contém um patch para o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.