CVE-2024-47164

Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Bu güvenlik açığı, `is_in_or_equal` fonksiyonundaki **dizin gezgin kontrolünün atlatılmasıyla** ilgilidir. Bir dosyanın belirli bir dizinde olup olmadığını kontrol etmek amacıyla kullanılan bu fonksiyon, `..` (üst dizin) dizilerini kullanarak dosya yollarını manipüle eden belirli yüklerle atlatılabilir. Saldırganlar, bu açığı istismar edebilmeleri durumunda kısıtlanmış dosyalara erişebilirler; ancak bunun zorluk derecesi yüksektir. Bu durum öncelikle Gradio'nun engelleme listesine veya dizin erişim doğrulamasına güvenen kullanıcıları, özellikle de dosya yüklemelerini işleyenleri etkilemektedir. Kullanıcıların bu sorunu gidermek için `gradio>=5.0` sürümüne yükseltmeleri önerilir. Geçici bir çözüm olarak kullanıcılar, Gradio dağıtımlarında dosya yollarını `is_in_or_equal` fonksiyonuna iletmeden önce manuel olarak temizleyebilir ve normalize edebilirler. Tüm dosya yollarının düzgün şekilde çözümlendiğinden ve mutlak olduğundan emin olmak, `..` dizilerinin veya hatalı biçimlendirilmiş yolların yanlış işlenmesinden kaynaklanan atlatma açıklarını azaltmaya yardımcı olabilir.