CVE-2026-73220

Nome do Software Vulnerável e Versões Afetadas CVAT versões 2.68.0 até 2.69.0

Description Um problema existe no renderizador de guia de anotação de tarefa de áudio localizado em cvat-ui/src/audio/components/annotation-page/audio-workspace/top-bar/audio-right-group.tsx, onde o Markdown do guia controlado por um invasor é passado para o MDEditor sem o plugin rehype-sanitize. Isso permite que um usuário com permissões para criar ou editar um guia de anotação armazene JavaScript malicioso. Quando outro usuário abre o guia, o script é executado, permitindo a emissão de requisições arbitrárias com os privilégios do usuário vítima. Trata-se de uma falha de Cross-Site Scripting (XSS) armazenada, que ocorre quando uma aplicação armazena scripts maliciosos em um servidor e posteriormente os serve a outros usuários.

Recommendations Atualizar para a versão 2.70.0.