PT-2024-32448 · Gradio · Gradio

Ahpaleus

+1

·

Publicado

2024-10-10

·

Atualizado

2024-10-17

·

CVE-2024-47165

CVSS v4.0

6.9

Média

VetorAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Nome do software vulnerável e versões afetadas
Versões do Gradio anteriores à 5.0
Descrição
Este problema está relacionado à validação de origem CORS, que aceita uma origem nula. Quando um servidor Gradio é implantado localmente, a variável localhost aliases inclui “null” como uma origem válida, permitindo que invasores façam solicitações não autorizadas a partir de iframes em sandbox ou outras fontes com origem nula. Isso pode levar ao roubo de dados, como tokens de autenticação de usuário ou arquivos enviados, afetando especialmente usuários que executam o Gradio localmente e utilizam autenticação básica.
Recomendações
Para resolver este problema, atualize para gradio>=5.0.
Como solução alternativa temporária, modifique manualmente a lista localhost aliases na implantação local do Gradio para excluir “null” como origem válida, mitigando o risco de exploração.

Exploit

Correção

Improper Authorization

Origin Validation Error

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-47165
GHSA-89V2-PQFV-C5R9
PYSEC-2024-214

Produtos afetados

Gradio