Iniciar sesión
Deutsch English Español Polski
Alta

A Server Side Request Forgery (SSRF) in the Data Import module in Heartex - Label Studio Community Edition versions 1.5.0 and earlier allows an authenticated user to access arbitrary files on the syst

  • Publicada: 03.10.2022
  • Actualizado: 11.10.2026 12:20

A Server Side Request Forgery (SSRF) in the Data Import module in Heartex - Label Studio Community Edition versions 1.5.0 and earlier allows an authenticated user to access arbitrary files on the system. Furthermore, self-registration is enabled by default in these versions of Label Studio enabling a remote attacker to create a new account and then exploit the SSRF.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) label-studio < 1.5.0.post0 1.5.0.post0

Referencias

Puntuación CVSS 6.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE)
CWE-918
Plataforma
Python (PyPI)
Paquete
label-studio
Publicada
03.10.2022
Actualizado
11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-pc6f-259w-w3j6 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2022-300 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: label-studio

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (12) en el archivo
Entradas en total
12
Primera → última
10.2022 01.2026
Sin corrección
1
Explotada en ataques
0

Distribución por gravedad

  • Crítica 1
  • Alta 7
  • Media 4

Divulgaciones por año

Gravedad:
  1. Label Studio is vulnerable to full account takeover by chaining Stored XSS + IDOR in User Profile via custom_hotkeys field
    Alta CVE-2026-22033 <= 1.22.0 sin corrección
  2. label-studio vulnerable to Cross-Site Scripting (Reflected) via the label_config parameter.
    Alta CVE-2025-47783 < 1.18.0 1.18.0
  3. Label Studio allows Server-Side Request Forgery in the S3 Storage Endpoint
    Alta · 8.6 CVE-2025-25297 < 1.16.0 1.16.0
  4. Cross-site Scripting Vulnerability on Avatar Upload
    Alta · 7.1 CVE-2023-47115 < 1.9.2 1.9.2
  5. Label Studio Object Relational Mapper Leak Vulnerability in Filtering Task
    Alta · 7.5 CVE-2023-47117 < 1.9.2.post0 1.9.2.post0
  6. Label Studio has Hardcoded Django `SECRET_KEY` that can be Abused to Forge Session Tokens
    Crítica · 9.8 CVE-2023-43791 < 1.8.2 1.8.2
  7. Nginx alias path traversal allows unauthenticated attackers to read all files on /label_studio/core/
    Alta · 7.5 ghsa-cpmr-mw4j-99r7 < 1.7.2 1.7.2
  8. A Server Side Request Forgery (SSRF) in the Data Import module in Heartex - Label Studio Community Edition versions 1.5.0 and earlier allows an authenticated user to access arbitrary files on the syst esta entrada
    Alta · 6.5 CVE-2022-36551 < 1.5.0.post0 1.5.0.post0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.