CVE-2024-4254
Secrets Exfiltration in gradio-app/gradio
- Pubblicato
- 4 giu 2024
- Aggiornato
- 21 ott 2025
- Assegnazione CNA
- @huntr_ai
- Evidenza osservata
- 2 set 2026
CVSS primario
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 39,3%
- Data del modello
- 19 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il workflow 'deploy-website.yml' nel repository gradio-app/gradio, in particolare nel ramo 'main', è vulnerabile all'esfiltrazione di segreti a causa di un'autorizzazione impropria. La vulnerabilità deriva dal checkout esplicito e dall'esecuzione di codice proveniente da un fork da parte del workflow, il che è pericoloso poiché consente l'esecuzione di codice non attendibile in un ambiente con accesso per effettuare push al repository di base e accesso ai segreti. Questa falla potrebbe portare all'esfiltrazione di segreti sensibili come GITHUB_TOKEN, HF_TOKEN, VERCEL_ORG_ID, VERCEL_PROJECT_ID, COMMENT_TOKEN, AWSACCESSKEYID, AWSSECRETKEY e VERCEL_TOKEN. La vulnerabilità è presente nel file del workflow situato all'indirizzo https://github.com/gradio-app/gradio/blob/72f4ca88ab569aae47941b3fb0609e57f2e13a27/.github/workflows/deploy-website.yml.
Fonti
- gha-lab-40e23db109Ricerca
Laboratorio di ricerca sulla sicurezza: riproduzione controllata di CVE-2024-4254 (GHSA-fc78-c36r-cc59) — checkout/fork di deploy-website.yml ed esecuzione di codice in gradio-app/gradio @ d4c503a
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.