PT-2026-136235
CVE-2026-121561
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Label Studio الإصدارات السابقة لـ 1.23.2
label-studio-sdk الإصدارات السابقة لـ 2.1.2
الوصف
يمكن للمستخدمين المصرح لهم تنفيذ هجوم تزوير الطلبات عبر الخادم (SSRF)، وهو ما يحدث عندما يتم خداع الخادم لإرسال طلبات إلى موقع غير مقصود. تسمح هذه المشكلة بقراءة عناوين URL الداخلية من خلال تنسيقات التصدير التي تدعم الصور. يمكن للمهاجم استيراد مهام تشير فيها المتغير
data.image إلى خدمات داخلية، ثم تصديرها بتنسيقات YOLO أو COCO مع الصور لقراءة الاستجابات. بالإضافة إلى ذلك، من خلال تزوير ترويسة Host، يمكن للمهاجم التقاط رمز API الخاص بمالك المؤسسة.التوصيات
تحديث Label Studio إلى الإصدار 1.23.2 أو أحدث.
تحديث label-studio-sdk إلى الإصدار 2.1.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾