CVE-2024-4941 in gradio
الملخص
بحسب VulDB • 23/06/2026
توجد ثغرة إدراج ملف محلي (Local File Inclusion) في مكون JSON الخاص بـ gradio-app/gradio الإصدار 4.25. تنشأ الثغرة بسبب عدم التحقق الصحيح من صحة المدخلات في دالة `postprocess()` داخل الملف `gradio/components/json_component.py`، حيث يتم تحليل سلسلة يتحكم فيها المستخدم على أنها كائن JSON. إذا احتوى كائن JSON المُحلل على مفتاح `path`، فإن الملف المحدد يُنقل إلى دليل مؤقت، مما يتيح إمكانية استرجاعه لاحقاً عبر نقطة النهاية `/file=..`. يعود سبب هذه المشكلة إلى أن دالة `processing_utils.move_files_to_cache()` تقوم بتصفح أي كائن يتم تمريرها إليه بحثاً عن قاموس يحتوي على مفتاح `path`، ثم نسخ الملف المحدد إلى دليل مؤقت. يمكن للمهاجم استغلال الثغرة لقراءة الملفات الموجودة على النظام البعيد، مما يشكل خطراً أمنياً كبيراً.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.