CVE-2023-51449
Təsvir
Gradio maşın öyrənmə modeli, API və ya hər hansı ixtiyari Python funksiyası üçün sürətli şəkildə demo və ya veb tətbiqi yaratmağa imkan verən açıq mənbəli Python paketidir. `gradio`-nun 4.11.0 versiyasından əvvəlki versiyalarında `/file` marşrutunda fayl traversalı (file traversal) hücumlarına meyilli olan bir boşluq mövcud idi. Bu boşluq vasitəsilə hücumçu, axtardığı faylların yolunu bildiyi təqdirdə, ictimai URL ilə işləyən Gradio tətbiqində (məsələn, demo `share=True` ilə yaradılıbsa və ya Hugging Face Spaces platformasındadırsa) maşındakı ixtiyari fayllara daxil ola bilirdi. Bu problem 4.11.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- gradio_project gradio4.11.0 və ya daha yeni versiya
- gradio4.11.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gradio_project gradio | v < 4.11.0 | 4.11.0 |
| gradioPyPI | v < 4.11.0 | 4.11.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.