PT-2025-12047 · Gradio App · Gradio

Publicado 2025-03-20 · Atualizado 2025-10-07 · CVE-2024-10569

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas gradio-app/gradio versão git 98cbcae

Descrição Uma vulnerabilidade no componente dataframe do gradio-app/gradio permite um ataque de zip bomb. O componente utiliza pd.read csv para processar valores de entrada, que podem aceitar arquivos compactados. Um invasor pode explorar isso fazendo upload de uma zip bomb criada maliciosamente, levando a uma queda do servidor e causando uma negação de serviço.

Recomendações Como solução temporária, considere desativar a função pd.read csv até que uma correção esteja disponível. Restrinja o acesso ao componente dataframe para minimizar o risco de exploração. Evite usar arquivos compactados nos valores de entrada para o componente dataframe até que o problema seja resolvido.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-475

Identificadores relacionados

CVE-2024-10569

GHSA-7XMC-VHJP-QV5Q

Produtos afetados

Gradio

Referências · 9

• 🔥 https://huntr.com/bounties/7192bcbb-08a3-4d22-a321-9c6d19dbfc74 · Exploit
• https://github.com/gradio-app/gradio · Nota
• https://github.com/gradio-app/gradio/blob/98cbcaef827de7267462ccba180c7b2ffb1e825d/gradio/components/dataframe.py#L263 · Nota
• https://osv.dev/vulnerability/CVE-2024-10569 · Aviso do Fabricante
• https://t.me/cvenotify/115543 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1902671047637475786 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10569 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7xmc-vhjp-qv5q · Aviso do Fabricante
• https://t.me/cveNotify/137735 · Publicação no Telegram