CVE-2026-7681

ŚrednieCVSS 6.5

Opublikowano: 03/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W projekcie jsbroks COCO Annotator do wersji 0.11.1 wykryto podatność w komponencie Dataset API (plik backend/webserver/api/datasets.py). Manipulacja argumentem DatasetId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a dostawca nie odpowiedział.

Ocena ryzyka

Zdalny atakujący może uzyskać dostęp do danych lub operacji zastrzeżonych dla innych użytkowników, naruszając kontrolę dostępu. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.

Rekomendacja

Wdrożyć poprawne sprawdzanie uprawnień dla argumentu DatasetId oraz ograniczyć dostęp do API do zaufanych użytkowników do czasu wydania poprawki.

Inne podatności w COCO Annotator

CVE-2026-7680Średnie
Wykryto podatność na przechodzenie do innych katalogów (path traversal) w COCO Annotator do wersji 0.11.1. Problem dotyczy nieznanej funkcji w pliku backend/webserver/api/datasets.py w komponencie Data Endpoint. Manipulacja argumentem folder umożliwia zdalny atak.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in jsbroks COCO Annotator up to 0.11.1. Affected by this vulnerability is an unknown functionality of the file backend/webserver/api/datasets.py of the component Dataset API. The manipulation of the argument DatasetId leads to authorization bypass. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS