CVE-2026-28414 in gradio
Riassunto
di VulDB • 16/06/2026
Gradio è un pacchetto Python open-source progettato per il prototipaggio rapido. Prima della versione 6.7, le app Gradio in esecuzione su Windows con Python 3.13+ sono vulnerabili a un problema di traversal del percorso assoluto che consente agli attaccanti non autenticati di leggere file arbitrari dal file system. Python 3.13+ ha modificato la definizione di `os.path.isabs` in modo che i percorsi relativi alla radice come `/windows/win.ini` su Windows non siano più considerati percorsi assoluti, causando una vulnerabilità nella logica di Gradio per l'unione sicura dei percorsi. Questo può essere sfruttato da attaccanti non autenticati per leggere file arbitrari dal server Gradio, anche quando Gradio è configurato con l'autenticazione. La versione 6.7 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.