PT-2024-32398 · Gradio · Gradio

Ahpaleus + 1 · Publicado 2024-10-10 · Atualizado 2026-06-04 · CVE-2024-47084

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do Gradio anteriores à 4.44

Descrição

Este problema está relacionado à validação de origem CORS, em que o servidor Gradio não consegue validar a origem da solicitação quando um cookie está presente. Isso permite que o site de um invasor faça solicitações não autorizadas a um servidor Gradio local. Potencialmente, os invasores podem fazer upload de arquivos, roubar tokens de autenticação e acessar dados do usuário se a vítima visitar um site malicioso enquanto estiver conectada ao Gradio. Isso afeta usuários que implantaram o Gradio localmente e usam autenticação básica.

Recomendações

Para resolver este problema, recomenda-se que os usuários atualizem para o Gradio >= 4.44.

Como solução alternativa temporária, os usuários podem aplicar manualmente uma validação de origem CORS mais rigorosa, modificando a classe CustomCORSMiddleware no código do servidor Gradio local, especificamente ignorando a condição que dispensa a validação CORS para solicitações contendo cookies, a fim de evitar possíveis explorações.

Exploit

Correção

Origin Validation Error

Improper Authorization

Enumeração de Fraquezas

CWE-346

CWE-285

Identificadores relacionados

CVE-2024-47084

GHSA-3C67-5HWX-F6WX

PYSEC-2024-196

Produtos afetados

Gradio

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/47xxx/CVE-2024-47084.json · Exploit
• https://github.com/gradio-app/gradio · Nota
• https://github.com/gradio-app/gradio/security/advisories/GHSA-3c67-5hwx-f6wx · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/gradio/PYSEC-2024-196.yaml · Nota
• https://t.me/cvenotify/97847 · Publicação no Telegram
• https://twitter.com/rst_cloud/status/2062484746114916533 · Publicação no Twitter
• https://twitter.com/BursaMatus/status/1881773101622366232 · Publicação no Twitter
• https://t.me/cvenotify/98555 · Publicação no Telegram
• https://t.me/aptreports/29415 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-47084 · Nota de Segurança
• https://twitter.com/transilienceai/status/1845331153789583498 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-3c67-5hwx-f6wx · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-196 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-47084 · Aviso do Fabricante
• https://t.me/cvedetector/7644 · Publicação no Telegram