CVE-2026-28414
Təsvir
Gradio sürətli prototipləmə üçün nəzərdə tutulmuş açıq mənbəli Python paketidir. Versiya 6.7-dək olan Gradio tətbiqləri, Python 3.13+ ilə Windows əməliyyat sistemində işlədikdə, autentifikasiya olunmamış hücumçulara fayl sistemindən istənilən faylları oxumağa imkan verən mütləq yol keçidi (absolute path traversal) boşluğuna malikdir. Python 3.13+ versiyasında `os.path.isabs` tərifinin dəyişdirilməsi nəticəsində Windows-da `/windows/win.ini` kimi kök dizinə nisbətən yollar artıq mütləq yollar hesab edilmir və bu da Gradio-nun yolları təhlükəsiz şəkildə birləşdirmə məntiqində boşluğa səbəb olur. Bu, hətta Gradio autentifikasiya ilə qurulduqda belə, autentifikasiya olunmamış hücumçular tərəfindən Gradio serverindən istənilən faylların oxunması üçün istifadə edilə bilər. Versiya 6.7 bu problemi aradan qaldırır.
Necə düzəltmək olar
- gradio_project gradio6.7.0 və ya daha yeni versiya
- gradio6.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gradio_project gradio | v < 6.7.0 | 6.7.0 |
| gradioPyPI | v < 6.7.0 | 6.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.