CVE-2026-58373

Nome do Software Vulnerável e Versões Afetadas CVAT versões anteriores a 2.69.0

Descrição Um problema de autorização inadequada existe na função QualityReportViewSet.get queryset. Atacantes autenticados podem enumerar identificadores de relatórios de qualidade de outras organizações ao explorar a ausência de uma chamada check object permissions no parâmetro de consulta parent id do endpoint de API de relatórios de qualidade. Ao enviar requisições com valores inteiros sequenciais para parent id, os atacantes podem distinguir entre relatórios existentes e inexistentes com base no fato de o servidor retornar uma resposta HTTP 500 ou HTTP 404, revelando a existência de relatórios entre organizações sem acessar o conteúdo real do relatório.

Recomendações Atualize para a versão 2.69.0 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro parent id no endpoint de API de relatórios de qualidade.