CVE-2024-47165

Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Bu güvenlik açığı, **CORS köken doğrulamasının null kökenini kabul etmesi** ile ilgilidir. Bir Gradio sunucusu yerel olarak dağıtıldığında, `localhost_aliases` değişkeni geçerli bir köken olarak "null" değerini içerir. Bu durum, saldırganların sandbox'lanmış iframe'lerden veya null kökene sahip diğer kaynaklardan yetkisiz istekler yapmasına olanak tanıyarak kullanıcı kimlik doğrulama belirteçleri veya yüklenen dosyalar gibi verilerin çalınmasına yol açabilir. Bu durum, Gradio'yu yerel olarak çalıştıran kullanıcıları, özellikle de temel kimlik doğrulaması kullananları etkilemektedir. Kullanıcıların bu sorunu gidermek için `gradio>=5.0` sürümüne yükseltmeleri önerilir. Geçici bir çözüm olarak kullanıcılar, yerel Gradio dağıtımlarındaki `localhost_aliases` listesini manuel olarak düzenleyerek "null" değerini geçerli bir köken olmaktan çıkarabilirler. Bu değer kaldırıldığında, Gradio sunucusu artık sandbox'lanmış iframe'lerden veya null kökene sahip kaynaklardan gelen istekleri kabul etmeyecek ve böylece istismar potansiyeli azaltılacaktır.