CVE-2026-27167 in gradio
Riassunto
di VulDB • 25/06/2026
Gradio è un pacchetto Python open-source progettato per il prototipaggio rapido. A partire dalla versione 4.16.0 e fino alla versione 6.5.x, le applicazioni Gradio eseguite al di fuori degli Hugging Face Spaces abilitano automaticamente i percorsi OAuth "simulati" (mocked) quando vengono utilizzati componenti OAuth (ad esempio `gr.LoginButton`). Quando un utente visita `/login/huggingface`, il server recupera il proprio token di accesso Hugging Face tramite `huggingface_hub.get_token()` e lo memorizza nel cookie di sessione del visitatore. Se l'applicazione è accessibile in rete, qualsiasi attaccante remoto può innescare questo flusso per rubare il token HF (Hugging Face) del proprietario del server. Il cookie di sessione viene firmato con un segreto hardcoded derivato dalla stringa `"-v4"`, rendendo la decodifica del payload banale. La versione 6.6.0 risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.