CVE-2025-25296
中已发布
Label Studio 允许通过向 /projects/upload-example 端点发送 GET 请求进行跨站脚本攻击（XSS）
- 已发布
- 2025年2月14日
- 已更新
- 2025年2月14日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月6日
初级CVSS
6.1/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N1.9%
低 · 未来 30 天
- 百分位
- 78.5%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Label Studio 是一款开源数据标注工具。在 1.16.0 版本之前，Label Studio 的 `/projects/upload-example` 端点允许通过带有精心构造的 `label_config` 查询参数的 `GET` 请求注入任意 HTML。通过构造一个特殊格式的 XML 标签配置，并在内联任务数据中包含恶意 HTML/JavaScript，攻击者可以实现跨站脚本攻击（XSS）。虽然该应用设有内容安全策略（CSP），但该策略仅以报告模式（report-only mode）运行，无法有效阻止脚本执行。该漏洞的存在是因为 upload-example 端点在 GET 请求中渲染用户提供的 HTML 内容时未进行适当的清理。这使得攻击者能够通过诱导受害者访问恶意构造的 URL，在受害者的浏览器中注入并执行任意 JavaScript。该问题被视为存在漏洞，因为它使攻击者能够在受害者的上下文中执行 JavaScript，从而可能导致敏感数据窃取、会话劫持或其他恶意行为。1.16.0 版本已包含针对该问题的补丁。
来源
1针对影响 Label Studio 1.16.0 之前版本的 CVE-2025-25296 漏洞的概念验证（POC）
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。