CVE-2024-47868

Gradio sürətli prototipləmə üçün nəzərdə tutulmuş açıq mənbəli Python paketidir. Bu, bir neçə Gradio komponentini təsir edən və post-emalı (post-processing) mərhələsi vasitəsilə ixtiyari faylların sızmasına imkan verən **məlumatların validasiyası zəifliyidir**. Hücumçular gözlənilən giriş məhdudiyyətlərindən yan keçən sorğular hazırlayaraq bu komponentlərdən istifadə edə bilərlər. Bu problem, xüsusilə TOB-GRADIO-15 kimi digər zəifliklərlə birlikdə olduqda, həssas faylların icazəsiz istifadəçilərə açılmasına səbəb ola bilər. Ən çox risk altında olan komponentlər fayl məlumatlarını qaytaran və ya emal edənlərdir. Zəiflikdən təsirlənən komponentlər: 1. **String to FileData:** DownloadButton, Audio, ImageEditor, Video, Model3D, File, UploadButton. 2. **Complex data to FileData:** Chatbot, MultimodalTextbox. 3. **Direct file read in preprocess:** Code. 4. **Dictionary converted to FileData:** ParamViewer, Dataset. Eksploat ssenariləri: 1. Tərtibatçı dəyərləri DownloadButton-a ötürən Dropdown siyahısı yaradır. Hücumçu icazə verilən girişləri yan keçir, ixtiyari fayl yolu (məsələn, `/etc/passwd`) göndərir və həssas faylları yükləyir. 2. Hücumçu ParamViewer komponentində zərərli yük hazırlayır və ixtiyari fayl sızıntısı vasitəsilə serverdən həssas faylları sızdırır. Bu problem `gradio>5.0` versiyasında həll edilmişdir. Ən son versiyaya yeniləmək bu zəifliyi aradan qaldıracaqdır. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.