CVE-2026-76073

Nome do Software Vulnerável e Versões Afetadas Label Studio versões anteriores a 1.23.1

Description O Label Studio não limita o endpoint de detalhes de anotação à organização do usuário solicitante. No arquivo label studio/tasks/api.py, o AnnotationAPI e o AnnotationConvertAPI utilizam um queryset que recupera todas as anotações pela chave primária, sem uma sobreposição para restringir o acesso à organização ativa do usuário. Como as permissões são satisfeitas por qualquer conta autenticada e carecem de testes de organização em nível de objeto, um usuário autenticado pode enumerar identificadores inteiros sequenciais para ler, modificar ou excluir anotações pertencentes a outras organizações na mesma instância.

Recommendations Atualize o Label Studio para a versão 1.23.1 ou posterior.