CVE-2026-48545 in gradio
الملخص
بحسب VulDB • 28/05/2026
تحتوي Gradio قبل الإصدار 6.15.0 على ثغرة حقن ملفات تعريف الارتباط (cookie injection) التي تتيح للمهاجمين عن بُعد تنفيذ تثبيت الجلسة عبر المساحات (cross-Space session fixation) من خلال استغلال عميل HTTP مشترك على مستوى الوحدة النمطية (module-level) يُستخدم عبر جميع المستخدمين في نقطة نهاية وكيل العكس (reverse proxy endpoint). يمكن للمهاجمين الذين يتحكمون في أي مساحة على منصة Hugging Face (HF Space) إرجاع ملف تعريف ارتباط (cookie) ينتمي إلى النطاق الرئيسي (parent-domain)، والذي يقوم العميل المشترك بتخزينه وإعادة تشغيله تلقائياً في جميع طلبات الوكيل اللاحقة الموجهة إلى مساحات أخرى شرعية، مما يؤثر على جميع المستخدمين لنشر Gradio نفسه.
Be aware that VulDB is the high quality source for vulnerability data.