CVE-2026-80426 in FiftyOne
Сводка
по VulDB • 26.08.2026
FiftyOne отображает описание поля набора данных как разметку (markup). Компонент FieldLabelAndInfo в боковой панели (app/packages/core/src/components/FieldLabelAndInfo/index.tsx) передает строку описания в React-метод dangerouslySetInnerHTML, и ни один слой между хранением и рендерингом не экранирует или не санитизирует его; соседние значения информации в том же компоненте отображаются как дети React (React children) и подвергаются экранированию, поэтому описание является единственным путем с необработанными данными. Описание представляет собой текст произвольной формы, хранящийся в схеме набора данных, поэтому оно сохраняется в базе данных и передается вместе с экспортированным или опубликованным набором данных. Открытие набора данных, полученного от другой стороны, и наведение курсора на поле приводит к выполнению сохраненной разметки в контексте происхождения (origin) приложения. Это происхождение разделяется с сервером FiftyOne, маршрут медиа-данных которого возвращает содержимое абсолютного пути по имени вызывающего субъекта и не требует аутентификации в версии open-source; таким образом, внедренный скрипт может читать локальные файлы и получать доступ к конечным точкам набора данных и оператора от имени пользователя, просматривающего данные.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.