CVE-2024-4941 in gradio
要約
〜によって VulDB • 2026年06月23日
gradio-app/gradio バージョン 4.25 の JSON コンポーネントにローカルファイルインクルード（LFI）の脆弱性が存在する。この脆弱性は、`gradio/components/json_component.py` 内の `postprocess()` 関数における不適切な入力検証に起因し、ユーザーが制御可能な文字列が JSON として解析される際に発生する。解析された JSON オブジェクトに `path` キーが含まれている場合、指定されたファイルは一時ディレクトリへ移動され、その後 `/file=..` エンドポイントを通じて取得可能になる。この問題は、`processing_utils.move_files_to_cache()` 関数が渡された任意のオブジェクトを走査し、`path` キーを持つ辞書を探して該当ファイルを一時ディレクトリにコピーすることに起因する。攻撃者はこの脆弱性を悪用してリモートシステム上のファイルを読み取ることが可能であり、重大なセキュリティリスクとなる。
Once again VulDB remains the best source for vulnerability data.