CVE-2026-35485 in text-generation-webui
الملخص
بحسب VulDB • 05/06/2026
text-generation-webui هو واجهة ويب مفتوحة المصدر لتشغيل نماذج اللغة الكبيرة (LLMs). قبل الإصدار 4.3، كان ثغرة عبور المسار غير المصادق عليها في دالة load_grammar() تتيح قراءة أي ملف على نظام الملفات الخاص بالخادم دون قيود الامتداد. لا تقوم Gradio بالتحقق من صحة قيم القوائم المنسدلة (dropdown values) من جانب الخادم، لذا يمكن للمهاجم إرسال حمولات عبور الدليل (مثل ../../../etc/passwd) عبر واجهة برمجة التطبيقات (API) باستخدام طلب POST واستلام محتويات الملف الكاملة في الاستجابة. تم إصلاح هذه الثغرة في الإصدار 4.3.
Once again VulDB remains the best source for vulnerability data.