CVE-2026-73221
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
CVAT od wersji 2.17.0 do 2.72.0 ma podatność, która pozwala użytkownikowi z rolą Worker na wykorzystanie przewidywalnych identyfikatorów żądań opartych na zadaniach z endpointami retrieve i destroy żądań lambda, aby przeglądać automatyczne żądania adnotacji dla zadań lub zadań, do których użytkownik nie ma dostępu, oraz anulować żądania inicjowane przez innych użytkowników. Problem naprawiono w wersji 2.72.0.
Ocena ryzyka
Nieautoryzowany dostęp do żądań adnotacji może ujawnić wrażliwe dane dotyczące zadań i umożliwić zakłócenie pracy innych użytkowników, co może naruszyć poufność i integralność procesów.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie CVAT do wersji 2.72.0 lub nowszej. Należy również przejrzeć uprawnienia użytkowników i ograniczyć dostęp do endpointów lambda.
Oryginalny opis (angielski, źródło NVD)
CVAT is an open source interactive video and image annotation tool for computer vision. From 2.17.0 until 2.72.0, a user with the Worker role can use predictable task-based request IDs with the lambda request retrieve and destroy endpoints to view automatic annotation requests for tasks or jobs the user cannot access and cancel requests initiated by other users. This issue is fixed in version 2.72.0.