Vulnerabilidad en Gradio (CVE-2024-47872)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
10/10/2024
Última modificación:
17/10/2024
Descripción
Gradio es un paquete Python de código abierto diseñado para la creación rápida de prototipos. Esta vulnerabilidad implica **Cross-Site Scripting (XSS)** en cualquier servidor Gradio que permita la carga de archivos. Los usuarios autenticados pueden cargar archivos como HTML, JavaScript o SVG que contengan scripts maliciosos. Cuando otros usuarios descarguen o vean estos archivos, los scripts se ejecutarán en su navegador, lo que permitirá a los atacantes realizar acciones no autorizadas o robar información confidencial de sus sesiones. Esto afecta a cualquier servidor Gradio que permita la carga de archivos, en particular a aquellos que utilizan componentes que procesan o muestran archivos cargados por el usuario. Se recomienda a los usuarios que actualicen a `gradio>=5` para solucionar este problema. Como workaround, los usuarios pueden restringir los tipos de archivos que se pueden cargar en el servidor Gradio limitando las cargas a tipos de archivos no ejecutables, como imágenes o texto. Además, los desarrolladores pueden implementar la validación del lado del servidor para desinfectar los archivos cargados, lo que garantiza que los archivos HTML, JavaScript y SVG se gestionen o rechacen correctamente antes de almacenarse o mostrarse a los usuarios.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA
Puntuación base 3.x
5.40
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:gradio_project:gradio:*:*:*:*:*:python:*:* | 5.0.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página