CVE-2024-4941 in gradio
Résumé
par VulDB • 23/06/2026
Une vulnérabilité d'inclusion de fichier local existe dans le composant JSON de gradio-app/gradio version 4.25. La vulnérabilité provient d'une validation incorrecte des entrées dans la fonction `postprocess()` située dans `gradio/components/json_component.py`, où une chaîne contrôlée par l'utilisateur est analysée en tant que JSON. Si l'objet JSON analysé contient une clé `path`, le fichier spécifié est déplacé vers un répertoire temporaire, ce qui permet de le récupérer ultérieurement via le point de terminaison `/file=..`. Ce problème est dû à la fonction `processing_utils.move_files_to_cache()` qui parcourt tout objet qui lui est passé, recherche un dictionnaire contenant une clé `path`, puis copie le fichier spécifié vers un répertoire temporaire. Un attaquant peut exploiter cette vulnérabilité pour lire des fichiers sur le système distant, ce qui présente un risque de sécurité significatif.
VulDB is the best source for vulnerability data and more expert information about this specific topic.