JVNDB-2026-002051

humansignalのlabel studioにおける複数の脆弱性

Label Studioはマルチタイプのデータラベリングおよび注釈ツールです。バージョン1.22.0およびそれ以前のバージョンには、アプリケーションのcustom_hotkeys機能に永続的な保存型クロスサイトスクリプティング（XSS）脆弱性が存在しています。認証された攻撃者、またはユーザーや管理者を騙してcustom_hotkeysを更新させることができる者は、templates/base.htmlテンプレートを使用する任意のページを他のユーザーが読み込む際に実行されるJavaScriptコードを注入できます。このアプリケーションはブラウザにAPIトークンエンドポイント（/api/current-user/token）を公開しており、一部のAPIエンドポイントで十分なCSRF保護がないため、注入されたスクリプトは被害者のAPIトークンを取得したり、トークンリセットエンドポイントを呼び出したりすることが可能です。これにより、完全なアカウント乗っ取りおよび不正なAPIアクセスが可能になります。

humansignal

• label studio 1.22.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : [DCODX-AI] - Full account takeover chaining Stored XSS + IDOR in User Profile via custom_hotkeys field  Advisory  HumanSignal/label-studio  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. クロスサイトスクリプティング(CWE-79) [NVD評価]
3. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-22033

1. National Vulnerability Database (NVD) : CVE-2026-22033
2. 関連文書 : fix: BROS-664: Fix XSS via script injection in custom hotkeys by nick-skriabin  Pull Request #9084  HumanSignal/label-studio  GitHub
3. 関連文書 : fix: BROS-664: Fix XSS via script injection in custom hotkeys (#9084)  HumanSignal/label-studio@ea2462b  GitHub

• [2026年01月29日]
    掲載