CVE-2024-4253
Açıklama
gradio-app/gradio deposunda, özellikle 'test-functional.yml' iş akışı içerisinde bir komut enjeksiyonu zafiyeti bulunmaktadır. Zafiyet, bir komutta kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesinden kaynaklanmakta ve temel deponun yetkisiz şekilde değiştirilmesine veya gizli bilgilerin sızdırılmasına olanak tanımaktadır. Sorun, '@gradio/[email protected]' sürümü dahil olmak üzere önceki sürümleri etkilemektedir. Kusur, iş akışının GitHub bağlam bilgilerini işleme biçiminde mevcut olup; baş depo tam adını, baş dalı ve iş akışı referansını yeterli temizleme işlemi yapmadan yankılamaktadır. Bu durum, 'GITHUB_TOKEN', 'COMMENT_TOKEN' ve 'CHROMATIC_PROJECT_TOKEN' gibi hassas gizli bilgilerin sızdırılmasına yol açabilir.
Nasıl düzeltilir
- gradio_project gradio4.29.0 ya da sonraki bir sürüm
- gradio4.29.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradio_project gradio | v < 4.29.0 | 4.29.0 |
| gradioPyPI | v < 4.29.0 | 4.29.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.