CVE-2025-25296: Label Studio ermöglicht Cross-Site-Scripting (XSS) über eine GET-Anfrage an den Endpunkt /projects/upload-example | Kitploit

CVE-2025-25296

MittelVeröffentlicht

Label Studio ermöglicht Cross-Site-Scripting (XSS) über eine GET-Anfrage an den Endpunkt /projects/upload-example

Veröffentlicht: 14.02.2025
Aktualisiert: 14.02.2025
CNA zuweisen: GitHub_M
Beweise beobachtet: 06.08.2026

Primäres CVSS

6,1/ 10Mittel

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

EPSS-Wahrscheinlichkeitsschätzung

1,9 %

Niedrig · nächste 30 Tage

Perzentil: 78,5 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Label Studio ist ein Open-Source-Tool zur Datenbeschriftung. Vor Version 1.16.0 ermöglicht der Endpunkt `/projects/upload-example` von Label Studio die Einschleusung beliebigen HTML-Codes über eine `GET`-Anfrage mit einem entsprechend präparierten `label_config`-Abfrageparameter. Durch die Erstellung eines speziell formatierten XML-Label-Konfigurations mit Inline-Aufgabendaten, die bösartiges HTML/JavaScript enthalten, kann ein Angreifer Cross-Site-Scripting (XSS) erreichen. Obwohl die Anwendung über eine Content Security Policy (CSP) verfügt, ist diese nur im Report-Only-Modus gesetzt, was sie zur Verhinderung der Skriptausführung wirkungslos macht. Die Schwachstelle besteht, weil der Upload-Example-Endpunkt vom Benutzer bereitgestellte HTML-Inhalte ohne ordnungsgemäße Bereinigung bei einer `GET`-Anfrage rendert. Dies ermöglicht es Angreifern, beliebiges JavaScript in den Browsern der Opfer einzuschleusen und auszuführen, indem sie diese dazu bringen, eine bösartig gestaltete URL zu besuchen. Dies wird als verwundbar betrachtet, da es Angreifern ermöglicht, JavaScript im Kontext der Opfer auszuführen, was möglicherweise den Diebstahl sensibler Daten, Session-Hijacking oder andere bösartige Aktionen ermöglicht. Version 1.16.0 enthält einen Patch für das Problem.

Quellen

CVE-2025-25296PoC
Proof of Concept (POC) für die Schwachstelle CVE-2025-25296, die Label-Studio-Versionen vor 1.16.0 betrifft

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.