🇰🇷 한글 설명
Doccano 오픈소스 데이터 주석 도구 1.8.5 버전 이하에서 Bulk-Delete 엔드포인트의 LabelList 기능에 보안 결함이 발견되었습니다. 공격자가 조작을 통해 부적절한 접근 제어를 수행할 수 있으며, 원격 공격이 가능한 상태로 익스플로잇 코드가 공개되었습니다.
💡 쉬운 설명
데이터를 분류하는 도구에서 권한 확인이 제대로 이루어지지 않아 발생하는 문제입니다. 해커가 원격에서 허가되지 않은 작업을 수행하거나 데이터를 조작할 위험이 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in Doccano Open Source Annotation Tools for Machine Learning Practitioners and Auto Labeling Pipeline Module to Annotate a Document Automatically up to 1.8.5. This affects the function LabelList of the file /v1/projects/1/category-types of the component Bulk-Delete Endpoint. Performing a manipulation results in improper access controls. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
Doccano Open Source Annotation Tools (v1.8.5 이하 버전)
⚔️ 공격 벡터
원격에서 Bulk-Delete 엔드포인트의 LabelList 함수를 조작하여 접근 제어를 우회하는 방식
🛡️ 대응 방법
Doccano를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.8.5 이하인지 확인하십시오.
pip show doccano | grep Version