CVE-2023-51449

Orta

Açıklama

Gradio; makine öğrenimi modeliniz, API'niz veya herhangi bir rastgele Python fonksiyonunuz için hızlıca bir demo veya web uygulaması oluşturmanıza olanak tanıyan açık kaynaklı bir Python paketidir. `gradio`nun 4.11.0 öncesindeki sürümleri, `/file` rotasında, saldırganın aradığı dosyaların yolunu bildiği takdirde halka açık bir URL ile çalışan bir Gradio uygulamasındaki (örneğin demo `share=True` ile oluşturulmuşsa veya Hugging Face Spaces üzerindeyse) rastgele dosyalara erişebileceği dosya gezginliği (file traversal) saldırılarına karşı savunmasız bırakan bir güvenlik açığı içermekteydi. Bu sorun 4.11.0 sürümünde giderilmiştir.

ÖnemOrta

CVSS5.6

İstismar olasılığı98. yüzdelik%28,3

ÜrünGradio

Yayın22 Ara 2023

İlk görülme22 Ara 2023

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

gradio_project gradio4.11.0 ya da sonraki bir sürüm
gradio4.11.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
gradio_project gradio	v < 4.11.0	4.11.0
gradioPyPI	v < 4.11.0	4.11.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.