Label Studioはマルチタイプのデータラベリングおよび注釈ツールです。バージョン1.22.0およびそれ以前のバージョンには、アプリケーションのcustom_hotkeys機能に永続的な保存型クロスサイトスクリプティング（XSS）脆弱性が存在しています。認証された攻撃者、またはユーザーや管理者を騙してcustom_hotkeysを更新させることができる者は、templates/base.htmlテンプレートを使用する任意のページを他のユーザーが読み込む際に実行されるJavaScriptコードを注入できます。このアプリケーションはブラウザにAPIトークンエンドポイント（/api/current-user/token）を公開しており、一部のAPIエンドポイントで十分なCSRF保護がないため、注入されたスクリプトは被害者のAPIトークンを取得したり、トークンリセットエンドポイントを呼び出したりすることが可能です。これにより、完全なアカウント乗っ取りおよび不正なAPIアクセスが可能になります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。