PT-2026-3868

CVE-2026-23516

Publicado

2026-01-21

Atualizado

2026-01-21

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do CVAT 2.2.0 a 2.54.0

Descrição O CVAT é uma ferramenta interativa de anotação de vídeo e imagem para visão computacional. Um atacante pode executar JavaScript arbitrário na sessão da interface do usuário do CVAT de um usuário vítima. Isso é possível mediante a criação de um rótulo maliciosamente elaborado em uma tarefa ou projeto do CVAT e, em seguida, levando o usuário vítima a editar esse rótulo ou visualizar uma forma que faça referência a ele. Alternativamente, o atacante pode levar o usuário vítima a enviar uma imagem SVG maliciosamente elaborada ao configurar um esqueleto. Uma exploração bem-sucedida concede ao atacante acesso temporário a todos os recursos do CVAT acessíveis ao usuário vítima.

Recomendações Atualize para a versão 2.55.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Arkmarta

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

CWE-83: Improper Neutralization of Script in Attributes in a Web Page