CVE-2024-4941 in gradio
요약
\~에 의해 VulDB • 2026. 06. 23.
gradio-app/gradio 버전 4.25의 JSON 컴포넌트에 로컬 파일 포함(Local File Inclusion) 취약점이 존재합니다. 이 취약점은 `gradio/components/json_component.py` 내의 `postprocess()` 함수에서 부적절한 입력 검증으로 인해 발생하며, 여기서 사용자 제어 문자열이 JSON으로 파싱됩니다. 파싱된 JSON 객체에 `path` 키가 포함되어 있으면 지정된 파일이 임시 디렉토리로 이동되어 나중에 `/file=..` 엔드포인트를 통해 접근할 수 있게 됩니다. 이 문제는 `processing_utils.move_files_to_cache()` 함수가 전달된 모든 객체를 순회하며 `path` 키가 있는 딕셔너리를 찾고 해당 파일을 임시 디렉토리로 복사하기 때문에 발생합니다. 공격자는 이를 악용하여 원격 시스템의 파일을 읽을 수 있으며, 이는 중대한 보안 위험으로 간주됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.