CVATはコンピュータビジョン向けのオープンソースのインタラクティブな動画および画像アノテーションツールです。バージョン2.2.0から2.54.0までにおいて、攻撃者は悪意のあるラベルをCVATのタスクまたはプロジェクト内に作成し、被害者ユーザーにそのラベルを編集させるか、そのラベルを参照する形状を表示させる、またはスケルトンの設定時に悪意のあるSVG画像をアップロードさせることができれば、被害者ユーザーのCVAT UIセッション内で任意のJavaScriptを実行できます。これにより攻撃者は被害者ユーザーがアクセス可能な全てのCVATリソースへの一時的なアクセス権を得られます。バージョン2.55.0でこの問題は修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。