PT-2024-32864 · Gradio · Gradio

Ahpaleus + 1 · Publicado 2024-10-10 · Atualizado 2024-10-17 · CVE-2024-47872

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Gradio anteriores à 5

Descrição

Este problema envolve Cross-Site Scripting (XSS) em qualquer servidor Gradio que permita o envio de arquivos. Usuários autenticados podem fazer upload de arquivos como HTML, JavaScript ou SVG contendo scripts maliciosos. Quando outros usuários baixam ou visualizam esses arquivos, os scripts são executados em seus navegadores, permitindo que invasores realizem ações não autorizadas ou roubem informações confidenciais de suas sessões. Isso afeta qualquer servidor Gradio que permita o upload de arquivos, particularmente aqueles que utilizam componentes que processam ou exibem arquivos enviados pelos usuários.

Recomendações

Atualize para o Gradio>=5 para resolver este problema.

Como solução temporária, restrinja os tipos de arquivos que podem ser enviados para o servidor Gradio, limitando os envios a tipos de arquivos não executáveis, como imagens ou texto.

Implemente validação do lado do servidor para sanitizar os arquivos enviados, garantindo que arquivos HTML, JavaScript e SVG sejam tratados adequadamente ou rejeitados antes de serem armazenados ou exibidos aos usuários.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-47872

GHSA-GVV6-33J7-884G

PYSEC-2024-220

Produtos afetados

Gradio

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/47xxx/CVE-2024-47872.json · Exploit
• https://github.com/gradio-app/gradio · Nota
• https://github.com/gradio-app/gradio/security/advisories/GHSA-gvv6-33j7-884g · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/gradio/PYSEC-2024-220.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-47872 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1844572013576200408 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1844507019103121747 · Publicação no Twitter
• https://t.me/cvedetector/7654 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-47872 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gvv6-33j7-884g · Aviso do Fabricante
• https://t.me/cvenotify/97858 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2024-220 · Aviso do Fabricante