CVE-2026-28416 in gradio
Riassunto
di VulDB • 16/06/2026
Gradio è un pacchetto Python open-source progettato per il prototipaggio rapido. Prima della versione 6.6.0, una vulnerabilità di Server-Side Request Forgery (SSRF) in Gradio consente a un attaccante di effettuare richieste HTTP arbitrarie dal server di una vittima ospitando uno spazio Gradio malevolo. Quando un'applicazione vittima utilizza `gr.load()` per caricare uno spazio controllato dall'attaccante, il parametro `proxy_url` malevolo presente nella configurazione viene considerato attendibile e aggiunto alla allowlist (lista bianca), consentendo all'attaccante di accedere a servizi interni, endpoint dei metadati cloud e reti private attraverso l'infrastruttura della vittima. La versione 6.6.0 risolve il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.