Vulnerabilidad en gradio-app/gradio (CVE-2024-12217)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-22
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
20/03/2025
Última modificación:
20/03/2025
Descripción
Una vulnerabilidad en el repositorio gradio-app/gradio, versión git 67e4044, permite path traversal en el sistema operativo Windows. La implementación de la función "blocked_path", cuyo objetivo es impedir que los usuarios lean ciertos archivos, es defectuoso. En concreto, si bien la aplicación bloquea correctamente el acceso a rutas como "C:/tmp/secret.txt", no lo bloquea al usar la sintaxis de flujos de datos alternativos (ADS) de NTFS, como "C:/tmp/secret.txt::$DATA". Este fallo puede provocar la lectura no autorizada de rutas de archivos bloqueadas.
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA