CVE-2026-121561

Label Studio nie stosuje filtrów organizacji podczas rozwiązywania identyfikatorów URI magazynu dla zadań i projektów w punktach końcowych proxy_api.py. Atakujący mogą uzyskać dostęp do obiektów magazynu w chmurze innych dzierżawców, tworząc oddzielną organizację i podając dowolne identyfikatory URI plików do podpisania lub strumieniowania zawartości zasobników.

Label Studio do wersji 1.23.0 nie waliduje adresów URL webhooków, co pozwala uwierzytelnionym użytkownikom wysyłać żądania do wewnętrznych usług, w tym adresów RFC 1918 i punktów końcowych metadanych chmury. Atakujący mogą tworzyć webhooki kierowane do prywatnych sieci i eksfiltrować dane adnotacji, włączając przesyłanie ładunku w żądaniach wychodzących.

Label Studio nie ogranicza punktu końcowego szczegółów adnotacji do organizacji użytkownika żądającego. AnnotationAPI w label_studio/tasks/api.py deklaruje queryset = Annotation.objects.all() i nie zapewnia nadpisania get_queryset, więc domyślne wyszukiwanie pobiera dowolną adnotację po kluczu podstawowym. Uprawnienia wymagane przez widok to annotations.view, annotations.change i annotations.delete, a każdy zalogowany użytkownik spełnia te wymagania, bez testu na poziomie obiektu. Identyfikatory adnotacji są sekwencyjnymi liczbami całkowitymi, więc uwierzytelniony użytkownik jednej organizacji może wyliczać identyfikatory, aby czytać, modyfikować i usuwać adnotacje należące do innych organizacji na tym samym wystąpieniu. Ten sam nieograniczony queryset pojawia się w AnnotationConvertAPI.