PT-2024-32449 · Gradio · Gradio
Ahpaleus
+1
·
Publicado
2024-10-10
·
Atualizado
2024-10-17
·
CVE-2024-47166
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/U:Green |
Nome do software vulnerável e versões afetadas
Versões do Gradio anteriores à 4.44
Descrição
Este problema envolve uma transposição de caminho de leitura de um nível no endpoint “/custom component”. Os invasores podem explorar essa falha para acessar e vazar o código-fonte de componentes personalizados do Gradio, manipulando o caminho do arquivo na solicitação. Embora a traversal seja limitada a um único nível de diretório, ela pode expor código proprietário ou confidencial que os desenvolvedores pretendiam manter privado. Isso afeta usuários que desenvolveram componentes personalizados do Gradio e os hospedam em servidores acessíveis ao público.
Recomendações
Para resolver este problema, atualize para o Gradio versão 4.44 ou superior.
Como solução alternativa temporária, os desenvolvedores podem sanitizar os caminhos dos arquivos e garantir que os componentes não sejam armazenados em diretórios acessíveis ao público.
Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gradio