CVE-2022-36551
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
Podatność SSRF w module importu danych Heartex Label Studio Community Edition w wersjach 1.5.0 i wcześniejszych umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych plików w systemie. Dodatkowo domyślnie włączona samorejestracja pozwala zdalnemu atakującemu na utworzenie konta i wykorzystanie tej luki.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego odczytu wrażliwych plików systemowych przez atakującego, co może prowadzić do wycieku danych lub dalszej eskalacji ataku w sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować Label Studio do wersji nowszej niż 1.5.0 oraz wyłączyć domyślną samorejestrację, jeśli nie jest wymagana.
Oryginalny opis (angielski, źródło NVD)
A Server Side Request Forgery (SSRF) in the Data Import module in Heartex - Label Studio Community Edition versions 1.5.0 and earlier allows an authenticated user to access arbitrary files on the system. Furthermore, self-registration is enabled by default in these versions of Label Studio enabling a remote attacker to create a new account and then exploit the SSRF.