CVE-2023-43791
Label Studio में हार्डकोडेड Django SECRET_KEY है जिसका दुरुपयोग सत्र टोकन बनाने के लिए किया जा सकता है
- प्रकाशित
- 9 नव॰ 2023
- अद्यतन
- 3 सित॰ 2024
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 28 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 69.2%
- मॉडल दिनांक
- 31 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Label Studio एक बहु-प्रकार डेटा लेबलिंग और एनोटेशन टूल है जिसका आउटपुट फ़ॉर्मेट मानकीकृत है। एक भेद्यता है जिसे ORM Leak भेद्यता के साथ श्रृंखलाबद्ध करके Label Studio पर किसी भी खाते का रूप धारण किया जा सकता है। एक हमलावर इन भेद्यताओं का शोषण करके अपने विशेषाधिकारों को कम विशेषाधिकार वाले उपयोगकर्ता से Django Super Administrator उपयोगकर्ता तक बढ़ा सकता है। यह भेद्यता `1.8.2` से पहले के संस्करणों को प्रभावित करती पाई गई, जहाँ एक पैच पेश किया गया था।
स्रोत
- publicationsअनुसंधान
आक्रामक सुरक्षा अनुसंधान हब जो विविध उत्पाद ऑडिट से मूल भेद्यता सलाहकार (vulnerability advisories), CVE प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, सम्मेलन वार्ता और आंतरिक टूलिंग एकत्र करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।