CVE-2024-4941

gradio-app/gradio versão 4.25

Existe uma vulnerabilidade de inclusão de arquivo local devido à validação inadequada de entradas na função postprocess() dentro do arquivo gradio/components/json component.py. Isso permite que uma string controlada pelo usuário seja analisada como JSON. Se o objeto JSON contiver uma chave path, o arquivo especificado é movido para um diretório temporário, tornando-o recuperável através do endpoint “/file=..”. A função processing utils.move files to cache() é responsável por esse comportamento, pois percorre qualquer objeto que lhe seja passado, procurando um dicionário com a chave path e, em seguida, copia o arquivo especificado para um diretório temporário. Isso representa um risco de segurança significativo, pois pode ser explorado por um invasor para ler arquivos no sistema remoto.

Para a versão 4.25 do gradio-app/gradio, considere desativar a função postprocess() dentro de gradio/components/json component.py ou restringir o uso da função processing utils.move files to cache() para minimizar o risco de exploração. Evite usar a chave path no objeto JSON até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.