Gradio permite que usuários acessem arquivos arbitrários

Esta vulnerabilidade permite que usuários de aplicações Gradio com links públicos acessem arquivos no servidor que hospeda a aplicação. O ataque envolve a interceptação e modificação das requisições de rede feitas pela aplicação Gradio ao servidor. Um atacante pode, por exemplo, ler arquivos de configuração sensíveis, código-fonte, ou até mesmo executar comandos no servidor, dependendo das permissões do usuário sob o qual a aplicação Gradio está rodando. O impacto é amplificado em ambientes de desenvolvimento ou testes onde arquivos com informações confidenciais podem estar presentes. A capacidade de acessar arquivos no servidor representa um risco significativo para a confidencialidade e integridade dos dados.

Organizations and individuals deploying Gradio applications with public links, particularly those hosted on platforms like Hugging Face Spaces, are at risk. This includes machine learning engineers, data scientists, and developers who rely on Gradio for building and sharing interactive model demos. Legacy Gradio deployments and those with overly permissive file system permissions are particularly vulnerable.

• python / gradio: Monitor Gradio application logs for unusual file access attempts.

import logging
logging.basicConfig(filename='gradio_app.log', level=logging.INFO)
# ... your Gradio app code ...

• generic web: Inspect access logs for requests targeting unusual file paths within the Gradio application directory. • generic web: Check response headers for unexpected file content types or sizes. • generic web: Use curl to attempt accessing files outside the intended application directory (e.g., /../../etc/passwd).

curl 'http://your-gradio-app.com/../../etc/passwd'

1. 2024-09-25Disclosure

   disclosure

1. Reservado2024-02-21
2. Publicada2024-09-25
3. Modificada2026-02-03
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar a versão do Gradio para 4.19.2 ou superior. Se a atualização imediata não for possível devido a incompatibilidades, considere restringir o acesso à aplicação Gradio apenas a usuários confiáveis. Implementar regras de firewall para limitar o acesso ao servidor que hospeda a aplicação Gradio pode ajudar a reduzir a superfície de ataque. Monitore os logs do servidor em busca de atividades suspeitas, como tentativas de acesso a arquivos não autorizados. A atualização para a versão mais recente é a solução mais eficaz e recomendada.