Summary
Summary
On all Label Studio versions prior to 1.11.0, data imported via file upload feature is not properly sanitized prior to being rendered within a Choices or Labels tag, resulting in an XSS vulnerability.
Details
Need permission to use the "data import" function. This was reproduced on Label Studio 1.10.1.
PoC
-
Create a project.
-
Upload a file containing the payload using the "Upload Files" function.
The following are the contents of the files used in the PoC
{
"data": {
"prompt": "labelstudio universe image",
"images": [
{
"value": "id123#0",
"style": "margin: 5px",
"html": "<img width='400' src='https://labelstud.io/_astro/images-tab.64279c16_ZaBSvC.avif' onload=alert(document.cookie)>"
}
]
}
}-
Select the text-to-image generation labeling template of Ranking and scoring
-
Select a task
-
Check that the script is running
Impact
Malicious scripts can be injected into the code, and when linked with vulnerabilities such as CSRF, it can cause even greater damage. In particular, It can become a source of further attacks, especially when linked to social engineering.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | label-studio | < 1.11.0 | 1.11.0 |
Odnośniki
- https://github.com/HumanSignal/label-studio/security/advisories/GHSA-6xv9-957j-qfhg
- https://nvd.nist.gov/vuln/detail/CVE-2024-26152
- https://github.com/HumanSignal/label-studio/pull/5232
- https://github.com/HumanSignal/label-studio/commit/5df9ae3828b98652e9fa290a19f4deedf51ef6c8
- https://github.com/HumanSignal/label-studio
- https://github.com/HumanSignal/label-studio/releases/tag/1.11.0
- https://github.com/pypa/advisory-database/tree/main/vulns/label-studio/PYSEC-2024-249.yaml
- https://github.com/advisories/GHSA-6xv9-957j-qfhg
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N- Słabość (CWE)
CWE-79- Platforma
- Python (PyPI)
- Paczka
label-studio- Ujawniono
- 22.02.2024
- Aktualizacja
- 11.10.2026 12:20
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-6xv9-957j-qfhg - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2024-249 - PyPA Advisory Database; CC BY 4.0
Historia podatności: label-studio
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 12
- Pierwsza → ostatnia
- 10.2022 01.2026
- Bez poprawki
- 1
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 7
- Średnia 4
Ujawnienia w latach
- 2022: 1
- 2023: 3
- 2024: 4
- 2025: 3
- 2026: 1
-
Summary ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.