CVE-2024-4254
Təsvir
gradio-app/gradio repozitoriyasının 'main' budağındakı 'deploy-website.yml' iş axını (workflow), yanlış avtorizasiya səbəbindən gizli məlumatların sızdırılmasına qarşı həssasdır. Bu zəiflik, iş axınının bir forka aid olan kodu açıq şəkildə checkout etməsi və icra etməsindən qaynaqlanır; bu təhlükəlidir, çünki əsas repozitoriyaya push etmək və gizli məlumatlara daxil olmaq imkanı olan mühitdə etibarsız kodun işlədilməsinə şərait yaradır. Bu çatışmazlıq GITHUB_TOKEN, HF_TOKEN, VERCEL_ORG_ID, VERCEL_PROJECT_ID, COMMENT_TOKEN, AWSACCESSKEYID, AWSSECRETKEY və VERCEL_TOKEN kimi həssas gizli məlumatların sızdırılmasına səbəb ola bilər. Zəiflik https://github.com/gradio-app/gradio/blob/72f4ca88ab569aae47941b3fb0609e57f2e13a27/.github/workflows/deploy-website.yml ünvanında yerləşən iş axını faylında mövcuddur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gradio_project gradio | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.