CVE-2025-25296

概要

Label Studioは、オープンソースのデータラベリングツールです。バージョン1.16.0より前のLabel Studioでは、`/projects/upload-example`エンドポイントが、適切に細工された`label_config`クエリパラメータを含む`GET`リクエストを通じて、任意のHTMLの注入を許可します。悪意のあるHTML/JavaScriptを含むインラインのタスクデータを持つ、特別にフォーマットされたXMLラベル設定を細工することで、攻撃者はクロスサイトスクリプティング（XSS）を達成できます。アプリケーションにはコンテンツセキュリティポリシー（CSP）がありますが、これはレポート専用モードでのみ設定されているため、スクリプトの実行を防ぐのに効果がありません。この脆弱性は、upload-exampleエンドポイントが、GETリクエスト上で適切なサニタイズなしにユーザー提供のHTMLコンテンツをレンダリングするために存在します。これにより、攻撃者は、被害者に悪意を持って細工されたURLを訪問させることで、被害者のブラウザに任意のJavaScriptを注入して実行できます。これは、攻撃者が被害者のコンテキストでJavaScriptを実行できるようにするため、機密データの窃取、セッションハイジャック、またはその他の悪意のあるアクションを可能にする可能性があるため、脆弱であると見なされます。バージョン1.16.0には、この問題に対するパッチが含まれています。

• CVE-2025-25296PoC

  1.16.0より前のバージョンに影響するLabel StudioのCVE-2025-25296脆弱性の概念実証（POC）