CVE-2023-47115

Label Studio es una popular herramienta de etiquetado de datos de código abierto. Las versiones anteriores a la 1.9.2 tienen una vulnerabilidad de cross-site scripting (XSS) que podría explotarse cuando un usuario autenticado carga un archivo de imagen manipulado para su avatar que se representa como un archivo HTML en el sitio web. La ejecución de JavaScript arbitrario podría provocar que un atacante realice acciones maliciosas en los usuarios de Label Studio si visitan la imagen de avatar creada. Por ejemplo, un atacante puede crear un payload de JavaScript que agregue un nuevo usuario de Superadministrador de Django si un administrador de Django visita la imagen. Las líneas 18-49 del archivo `users/functions.py` muestran que la única verificación de verificación es que el archivo es una imagen extrayendo las dimensiones del archivo. Label Studio sirve imágenes de avatar utilizando la vista "servir" incorporada de Django, que no es segura para uso en producción según la documentación de Django. El problema con la vista `serve` de Django es que determina el `Tipo de contenido` de la respuesta por la extensión del archivo en la ruta URL. Por lo tanto, un atacante puede cargar una imagen que contenga código HTML malicioso y nombrar el archivo con una extensión ".html" para que se represente como una página HTML. La única validación de la extensión de archivo se realiza en el lado del cliente, lo que se puede omitir fácilmente. La versión 1.9.2 soluciona este problema. Otras estrategias de corrección incluyen validar la extensión del archivo en el lado del servidor, no en el código del lado del cliente; eliminar el uso de la vista `serve` de Django e implementar un controlador seguro para ver las imágenes de avatar cargadas; guardar el contenido del archivo en la base de datos en lugar de en el sistema de archivos para mitigar otras vulnerabilidades relacionadas con los archivos; y evitar confiar en las entradas controladas por el usuario.