PT-2024-32448 · Gradio · Gradio
Ahpaleus
+1
·
Publicado
2024-10-10
·
Atualizado
2024-10-17
·
CVE-2024-47165
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Gradio anteriores à 5.0
Descrição
Este problema está relacionado à validação de origem CORS, que aceita uma origem nula. Quando um servidor Gradio é implantado localmente, a variável
localhost aliases inclui “null” como uma origem válida, permitindo que invasores façam solicitações não autorizadas a partir de iframes em sandbox ou outras fontes com origem nula. Isso pode levar ao roubo de dados, como tokens de autenticação de usuário ou arquivos enviados, afetando especialmente usuários que executam o Gradio localmente e utilizam autenticação básica.Recomendações
Para resolver este problema, atualize para
gradio>=5.0.Como solução alternativa temporária, modifique manualmente a lista
localhost aliases na implantação local do Gradio para excluir “null” como origem válida, mitigando o risco de exploração.Exploit
Correção
Improper Authorization
Origin Validation Error
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gradio