Label Studio 내부 주소 요청 위조와 API 토큰 노출
데이터 라벨링 도구: 로그인한 사용자가 내부를 엿보고 주인의 열쇠를 뺏을 수 있습니다.
요약
Label Studio 데이터 라벨링 도구에서 로그인한 사용자가 내부 주소의 응답을 읽고, 조직 소유자의 API 토큰을 공격자 서버로 보낼 수 있습니다. 1.23.2 미만 Label Studio와 label-studio-sdk 2.1.2 미만이 해당합니다.
해당 조건
- 인증된 계정(일반 멤버도 가능)
- 이미지를 포함한 내보내기(YOLO 또는 COCO)
대처법
label-studio 1.23.2 및 label-studio-sdk 2.1.2 이상으로 업데이트하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- label-studio 1.23.2 이상
- label-studio-sdk 2.1.2 이상
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인