CVE-2024-4253
أمر الحقن في gradio-app/gradio
- تم النشر
- 04/06/2024
- محدث
- 15/10/2025
- تخصيص CNA
- @huntr_ai
- الأدلة المرصودة
- 02/09/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 76.8%
- تاريخ الموديل
- 14/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
ثغرة حقن أوامر موجودة في مستودع gradio-app/gradio، وتحديداً داخل سير العمل 'test-functional.yml'. تنشأ الثغرة بسبب تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر، مما يسمح بتعديل غير مصرح به للمستودع الأساسي أو استخراج الأسرار. تؤثر المشكلة على الإصدارات حتى '@gradio/[email protected]' وما يشمله. الخلل موجود في معالجة سير العمل لمعلومات سياق GitHub، حيث يقوم بطباعة الاسم الكامل للمستودع الرئيسي، والفرع الرئيسي، ومرجع سير العمل دون تعقيم مناسب. قد يؤدي هذا إلى استخراج أسرار حساسة مثل 'GITHUB_TOKEN' و'COMMENT_TOKEN' و'CHROMATIC_PROJECT_TOKEN'.
المصادر
- gha-lab-ee08e207a8البحث
مختبر أبحاث أمنية مُصرّح به لإعادة إنتاج CVE-2024-4253 (GHSA-r897-wrpm-h4vw): حقن أوامر في workflow_run في ملف test-functional.yml الخاص بـ gradio-app/gradio
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.