CVATはコンピュータビジョン向けのオープンソースのインタラクティブなビデオおよび画像アノテーションツールです。バージョン2.8.1から2.52.0までの間、CVATインスタンスのアカウントを持つ攻撃者は、CVATサーバーがアクセス可能な任意のファイルシステムディレクトリの内容を取得できます。公開される情報には、含まれるファイルおよびサブディレクトリの名前が含まれます。ファイルの内容自体にはアクセスできません。この問題はバージョン2.53.0で修正されています。既知の回避策は存在しません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。