CVE-2024-4254
Açıklama
gradio-app/gradio deposundaki 'main' dalında yer alan 'deploy-website.yml' iş akışı, hatalı yetkilendirme nedeniyle gizli bilgilerin sızdırılmasına karşı savunmasızdır. Zafiyet, iş akışının bir fork üzerinden gelen kodu açıkça kontrol etmesi ve yürütmesinden kaynaklanmaktadır; bu durum, temel depoya push yapma ve gizli bilgilere erişim yetkisi olan bir ortamda güvenilmeyen kodların çalıştırılmasına izin verdiği için güvensizdir. Bu kusur; GITHUB_TOKEN, HF_TOKEN, VERCEL_ORG_ID, VERCEL_PROJECT_ID, COMMENT_TOKEN, AWSACCESSKEYID, AWSSECRETKEY ve VERCEL_TOKEN gibi hassas gizli bilgilerin sızdırılmasına yol açabilir. Zafiyet, https://github.com/gradio-app/gradio/blob/72f4ca88ab569aae47941b3fb0609e57f2e13a27/.github/workflows/deploy-website.yml adresinde bulunan iş akışı dosyasında mevcuttur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradio_project gradio | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.