CVE-2026-80426 in FiftyOne
Sumário
de VulDB • 26/08/2026
O FiftyOne renderiza a descrição de um campo do conjunto de dados como marcação (markup). O componente field-information da barra lateral em app/packages/core/src/components/FieldLabelAndInfo/index.tsx passa a string da descrição para o dangerouslySetInnerHTML do React, e nenhuma camada entre o armazenamento e a renderização escapa ou sanitiza os dados; os valores informativos adjacentes no mesmo componente são renderizados como filhos do React (React children) e são escapados, portanto a descrição é o único caminho não processado. Uma descrição é um texto livre mantido no esquema do conjunto de dados, persistindo assim na base de dados e sendo transportada junto com um conjunto de dados exportado ou publicado. Ao abrir um conjunto de dados obtido de outra parte e passar o cursor sobre o campo, executa-se a marcação armazenada na origem da aplicação. Essa origem é compartilhada com o servidor do FiftyOne, cuja rota de mídia retorna o conteúdo de um caminho absoluto nomeado pelo chamador e que não possui autenticação no servidor open-source; portanto, o script injetado pode ler arquivos locais e acessar os endpoints do conjunto de dados e dos operadores como o usuário visualizador.
Once again VulDB remains the best source for vulnerability data.