CVE-2024-4253

सारांश

gradio-app/gradio रिपॉजिटरी में, विशेष रूप से 'test-functional.yml' वर्कफ़्लो के भीतर, एक कमांड इंजेक्शन भेद्यता मौजूद है। यह भेद्यता कमांड में उपयोग किए जाने वाले विशेष तत्वों के अनुचित न्यूट्रलाइज़ेशन के कारण उत्पन्न होती है, जो बेस रिपॉजिटरी के अनधिकृत संशोधन या सीक्रेट्स के बहिर्गमन की अनुमति देती है। यह समस्या '@gradio/[email protected]' तक के संस्करणों को प्रभावित करती है। यह दोष वर्कफ़्लो के GitHub संदर्भ जानकारी के हैंडलिंग में मौजूद है, जहाँ यह पर्याप्त सैनिटाइज़ेशन के बिना हेड रिपॉजिटरी का पूरा नाम, हेड ब्रांच और वर्कफ़्लो संदर्भ को इको करता है। यह संभावित रूप से 'GITHUB_TOKEN', 'COMMENT_TOKEN' और 'CHROMATIC_PROJECT_TOKEN' जैसे संवेदनशील सीक्रेट्स के बहिर्गमन का कारण बन सकता है।

• gha-lab-ee08e207a8अनुसंधान

  अधिकृत सुरक्षा-अनुसंधान प्रयोगशाला जो CVE-2024-4253 (GHSA-r897-wrpm-h4vw) को पुनः प्रस्तुत करती है: gradio-app/gradio के test-functional.yml में workflow_run कमांड इंजेक्शन