CVE-2025-68430
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
CVAT to open source'owe narzędzie do interaktywnej adnotacji wideo i obrazów. W wersjach od 2.8.1 do 2.52.0 atakujący posiadający konto w instancji CVAT może uzyskać zawartość dowolnego katalogu systemu plików dostępnego dla serwera CVAT. Ujawnione informacje to nazwy plików i podkatalogów; zawartość plików nie jest dostępna. Wersja 2.53.0 zawiera poprawkę.
Ocena ryzyka
Ujawnienie nazw plików i struktury katalogów może pomóc atakującemu w mapowaniu systemu i planowaniu dalszych ataków. Może to prowadzić do naruszenia poufności i ułatwić eskalację uprawnień.
Rekomendacja
Zaktualizuj CVAT do wersji 2.53.0 lub nowszej. Ogranicz uprawnienia kont użytkowników i dostęp do systemu plików serwera.
Inne podatności w CVAT
Zobacz wszystkie- CVE-2026-73220Wysokie
CVAT, narzędzie do adnotacji wideo i obrazów, w wersjach od 2.68.0 do 2.70.0 zawiera podatność XSS w rendererze przewodnika adnotacji audio. Użytkownik z uprawnieniami do tworzenia lub edycji przewodnika może przechowywać złośliwy JavaScript, który wykona się u innego użytkownika, umożliwiając wykonanie dowolnych żądań CVAT z uprawnieniami ofiary. Problem naprawiono w wersji 2.70.0.
- CVE-2026-73221Średnie
CVAT od wersji 2.17.0 do 2.72.0 ma podatność, która pozwala użytkownikowi z rolą Worker na wykorzystanie przewidywalnych identyfikatorów żądań opartych na zadaniach z endpointami retrieve i destroy żądań lambda, aby przeglądać automatyczne żądania adnotacji dla zadań lub zadań, do których użytkownik nie ma dostępu, oraz anulować żądania inicjowane przez innych użytkowników. Problem naprawiono w wersji 2.72.0.
- CVE-2026-73219Średnie
CVAT to narzędzie do interaktywnej adnotacji wideo i obrazów. Od wersji 2.17.0 do 2.72.0 użytkownik z uprawnieniami do zapisu w zadaniu CVAT może wysłać żądanie automatycznej adnotacji z niespójnymi identyfikatorami zadania i zadania, blokując automatyczną adnotację dla innego zadania o znanym ID. Problem naprawiono w wersji 2.72.0.
- CVE-2026-65986Wysokie
W CVAT w wersjach od 2.5.0 do 2.66.0 występuje podatność XSS, która może być wykorzystana przez zasoby dołączone do przewodnika adnotacji. Gdy CVAT serwuje pliki dołączone do przewodnika, oznacza je typem MIME, na który atakujący może wpływać, co pozwala przeglądarce ofiary traktować plik jako stronę HTML i wykonywać dowolny JavaScript. Problem został naprawiony w wersji 2.67.0.
- CVE-2026-47682Wysokie
CVAT (open source narzędzie do adnotacji wideo i obrazów) w wersjach od 1.6.0 do 2.64.0 zawiera podatność, która pozwala atakującemu z dostępem do zapisu do magazynu chmurowego dodanego do instancji CVAT lub z możliwością dodania nowych magazynów chmurowych na nadpisywanie dowolnych plików w systemie plików serwera. Problem został naprawiony w wersji 2.65.0.
- CVE-2026-58373Średnie
Podatność w CVAT przed wersją 2.69.0 w klasie QualityReportViewSet.get_queryset pozwala uwierzytelnionym atakującym na enumerację identyfikatorów raportów jakości należących do innych organizacji. Brak wywołania check_object_permissions na parametrze parent_id w API raportów jakości umożliwia rozróżnienie istniejących i nieistniejących raportów na podstawie odpowiedzi HTTP 500 vs 404.
Oryginalny opis (angielski, źródło NVD)
CVAT is an open source interactive video and image annotation tool for computer vision. In versions 2.8.1 through 2.52.0, an attacker with an account on a CVAT instance is able to retrieve the contents of any file system directory accessible to the CVAT server. The exposed information is names of contained files and subdirectories. The contents of files are not accessible. Version 2.53.0 contains a patch. No known workarounds are available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS