CVE-2026-28414
Açıklama
Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Versiyon 6.7 öncesinde, Windows üzerinde Python 3.13+ ile çalışan Gradio uygulamaları, kimlik doğrulaması yapmamış saldırganların dosya sisteminden rastgele dosyaları okumasına olanak tanıyan bir mutlak yol atlama (absolute path traversal) sorununa karşı savunmasızdır. Python 3.13+, `os.path.isabs` tanımını değiştirerek Windows üzerindeki `/windows/win.ini` gibi kök dizine göre tanımlanmış yolların artık mutlak yol olarak değerlendirilmemesini sağlamıştır; bu durum Gradio'nun yolları güvenli bir şekilde birleştirme mantığında bir güvenlik açığına yol açmıştır. Bu durum, Gradio kimlik doğrulama ile yapılandırılmış olsa bile, kimlik doğrulaması yapmamış saldırganlar tarafından Gradio sunucusundan rastgele dosyalar okumak için istismar edilebilir. Versiyon 6.7 bu sorunu gidermektedir.
Nasıl düzeltilir
- gradio_project gradio6.7.0 ya da sonraki bir sürüm
- gradio6.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradio_project gradio | v < 6.7.0 | 6.7.0 |
| gradioPyPI | v < 6.7.0 | 6.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.