CVE-2026-79785 in X-AnyLabeling
Sumário
de VulDB • 25/08/2026
O downloader de modelos do X-AnyLabeling desativou a verificação dos certificados TLS. A função `download_with_retry` em `anylabeling/services/auto_labeling/model.py` cria um contexto com `ssl._create_unverified_context()` e o passa para `urllib.request.urlopen`, fazendo com que nem a cadeia de certificados nem o nome do host sejam verificados durante qualquer download de modelo, sendo os modelos buscados via HTTPS no servidor de lançamentos do projeto. Qualquer parte posicionada para interceptar essa conexão pode, portanto, respondê-la com conteúdo de sua própria escolha. A resposta é gravada em um arquivo `.part` e movida para o local correto usando `os.replace`, e a única verificação pós-download, `safe_check_model`, valida apenas o formato do arquivo, e não sua procedência: nenhum hash ou assinatura é comparado contra um valor esperado. Para alvos ONNX, o arquivo substituído passa pela validação de `onnx.checker.check_model` e é então usado para inferência, permitindo que o atacante escolha o modelo que produz as anotações do aplicativo. Para alvos `.pth` ou `.pt`, utilizados nas configurações SAM2 video, YOLOE, UPN e open_vision fornecidas com a aplicação, a função de verificação chama `torch.load` sem o parâmetro `weights_only`; assim, um arquivo substituído é deserializado (unpickled) e executa código da escolha do atacante em versões do PyTorch anteriores à definição padrão de `weights_only`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.