CVE-2025-25296 in label-studio
Tóm tắt
Bởi VulDB • 23/05/2026
Label Studio là một công cụ gán nhãn dữ liệu mã nguồn mở. Trước phiên bản 1.16.0, điểm cuối `/projects/upload-example` của Label Studio cho phép chèn HTML tùy ý thông qua yêu cầu `GET` với tham số truy vấn `label_config` được tạo ra một cách phù hợp. Bằng cách tạo một cấu hình nhãn XML có định dạng đặc biệt với dữ liệu tác vụ nội tuyến chứa HTML/JavaScript độc hại, kẻ tấn công có thể thực hiện tấn công Cross-Site Scripting (XSS). Mặc dù ứng dụng có Chính sách Bảo mật Nội dung (CSP), nhưng nó chỉ được đặt ở chế độ báo cáo (report-only), khiến nó không hiệu quả trong việc ngăn chặn việc thực thi tập lệnh. Lỗ hổng tồn tại vì điểm cuối upload-example hiển thị nội dung HTML do người dùng cung cấp mà không thực hiện việc làm sạch (sanitization) thích hợp trên yêu cầu GET. Điều này cho phép kẻ tấn công chèn và thực thi JavaScript tùy ý trong trình duyệt của nạn nhân bằng cách khiến họ truy cập vào một URL được tạo ra một cách độc hại. Đây được coi là lỗ hổng vì nó cho phép kẻ tấn công thực thi JavaScript trong ngữ cảnh của nạn nhân, có khả năng dẫn đến đánh cắp dữ liệu nhạy cảm, chiếm đoạt phiên (session hijacking) hoặc các hành động độc hại khác. Phiên bản 1.16.0 chứa bản vá cho vấn đề này.
Be aware that VulDB is the high quality source for vulnerability data.