CVE-2023-43791
Label Studio presenta una SECRET_KEY di Django hardcoded che può essere sfruttata per falsificare i token di sessione
- Pubblicato
- 9 nov 2023
- Aggiornato
- 3 set 2024
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 28 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 69,1%
- Data del modello
- 29 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Label Studio è uno strumento di etichettatura e annotazione dati multi-tipo con un formato di output standardizzato. Esiste una vulnerabilità che può essere concatenata con la vulnerabilità ORM Leak per impersonare qualsiasi account su Label Studio. Un attaccante potrebbe sfruttare queste vulnerabilità per escalare i propri privilegi da utente con privilegi bassi a utente Django Super Administrator. La vulnerabilità è stata rilevata nelle versioni precedenti alla `1.8.2`, dove è stata introdotta una patch.
Fonti
- publicationsRicerca
Hub di ricerca sulla sicurezza offensiva che aggrega advisory originali sulle vulnerabilità, exploit proof-of-concept per CVE, talk di conferenze e tooling interno proveniente da audit di diversi prodotti.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.