CVE-2024-47870
Açıklama
Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Bu güvenlik açığı, `update_root_in_config` fonksiyonundaki bir **yarış durumu (race condition)** ile ilgilidir ve saldırganın, Gradio ön yüzünün arka yüzle iletişim kurmak için kullandığı `root` URL'sini değiştirmesine olanak tanır. Bir saldırgan, bu açığı kullanarak kullanıcı trafiğini kötü amaçlı bir sunucuya yönlendirebilir. Bu durum; kimlik doğrulama bilgileri veya yüklenen dosyalar gibi hassas verilerin ele geçirilmesine yol açabilir. Bu durum, özellikle internete açık olan ve kötü niyetli kişilerin bu yarış durumunu istismar edebileceği tüm Gradio sunucusu kullanıcılarını etkilemektedir. Kullanıcıların bu sorunu gidermek için `gradio>=5` sürümüne yükseltmeleri önerilir. Bu sorun için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- gradio_project gradio5.0.0 ya da sonraki bir sürüm
- gradio5.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradio_project gradio | v < 5.0.0 | 5.0.0 |
| gradioPyPI | v < 5.0.0 | 5.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.