Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2024-47064

Computer Vision Annotation Tool (CVAT) contains a reflected XSS via request endpoints

Публикация: 30.09.2024·Обновлена: 30.09.2024, 19:26·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Computer Vision Annotation Tool (CVAT) is an interactive video and image annotation tool for computer vision. If an attacker can trick a logged-in CVAT user into visiting a maliciously-constructed URL, they can initiate any API calls on that user's behalf. This gives the attacker temporary access to all data that the victim user has access to. Upgrade to CVAT 2.19.0 or a later version to fix this issue.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

cvat-ai / cvat 

{
  "status": "affected",
  "version": ">= 2.16.0, < 2.19.0"
}

CVSS: оценки и векторы

CVSS 4.0 · cve6.3
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиине нужны
UI · Участие пользователяактивное
VC · Конфиденциальность уязвимой системынет
VI · Целостность уязвимой системынет
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системывысокое
SI · Целостность связанной системывысокое
SA · Доступность связанной системынет

Классы CWE

CWE-79 · Межсайтовое выполнение сценариев (XSS)CWE-81 · Неправильная нейтрализация сценария на веб-странице сообщения об ошибке

Источники и ссылки

Материал · github.com · cveМатериал · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:08:39.768438+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T23:47:41.557524+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T23:47:41.557524+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T23:47:41.557524+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:08:39.768438+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T23:47:41.557524+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены05.11.2026, 00:08
  2. Данные обновлены04.11.2026, 00:07
  3. Данные обновлены03.11.2026, 00:07
  4. Данные обновлены02.11.2026, 00:06
  5. Данные обновлены31.10.2026, 11:54
  6. Данные обновлены30.10.2026, 13:10
  7. Данные обновлены29.10.2026, 10:29
  8. Опубликована29.10.2026, 02:47

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-73220
CVAT: Stored XSS via annotation guides in audio tasks
cvat-ai / cvat
Высокий8.5
0,48 %
20.08.2026
CVE-2026-73219
CVAT: Denial of service with regards to automatic annotation
cvat-ai / cvat
Средний5.3
0,47 %
11.08.2026
CVE-2026-73221
CVAT: Flawed authorization logic in endpoints related to lambda requests
cvat-ai / cvat
Средний5.3
0,43 %
11.08.2026
CVE-2026-65986
CVAT has stored XSS via annotation guide assets
cvat-ai / cvat
Высокий8.5
0,41 %
04.08.2026
CVE-2026-47682
CVAT: Missing path-containment validation in multiple entry points allows arbitrary path writes
cvat-ai / cvat
Высокий7.1
0,45 %
04.08.2026
CVE-2024-47064: Computer Vision Annotation Tool (CVAT) contains a reflected XSS via request endpoints · CVE Радар