CVE-2024-47084

Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Bu güvenlik açığı, Gradio sunucusunun bir çerez mevcut olduğunda istek kaynağını doğrulamayı başaramadığı **CORS kaynak doğrulaması** ile ilgilidir. Bu durum, saldırganın web sitesinin yerel bir Gradio sunucusuna yetkisiz istekler göndermesine olanak tanır. Kurban, Gradio'ya giriş yapmışken kötü amaçlı bir web sitesini ziyaret ederse; saldırganlar potansiyel olarak dosya yükleyebilir, kimlik doğrulama belirteçlerini çalabilir ve kullanıcı verilerine erişebilir. Bu durum, Gradio'yu yerel olarak dağıtan ve temel kimlik doğrulaması kullanan kullanıcıları etkilemektedir. Kullanıcıların bu sorunu gidermek için `gradio>4.44` sürümüne yükseltmeleri önerilir. Geçici bir çözüm olarak kullanıcılar, yerel Gradio sunucu kodundaki `CustomCORSMiddleware` sınıfını değiştirerek daha katı CORS kaynak doğrulamasını manuel olarak zorunlu kılabilirler. Özellikle, olası istismarları önlemek için çerez içeren istekler için CORS doğrulamasını atlayan koşulu devre dışı bırakabilirler.