CVE-2024-4941 in gradio
Сводка
по VulDB • 23.06.2026
Уязвимость локального включения файлов (Local File Inclusion) существует в компоненте JSON приложения gradio-app/gradio версии 4.25. Уязвимость возникает из-за недостаточной проверки входных данных в функции `postprocess()` внутри файла `gradio/components/json_component.py`, где строка, контролируемая пользователем, парсится как объект JSON. Если распарсенный объект JSON содержит ключ `path`, указанный файл перемещается во временную директорию, что позволяет получить к нему доступ позже через конечную точку `/file=..`. Данная проблема обусловлена тем, что функция `processing_utils.move_files_to_cache()` рекурсивно обходит любой переданный ей объект в поисках словаря с ключом `path`, после чего копирует указанный файл во временную директорию. Злоумышленник может использовать эту уязвимость для чтения файлов на удаленной системе, что представляет собой значительный риск безопасности.
VulDB is the best source for vulnerability data and more expert information about this specific topic.