CVE-2026-35485 in text-generation-webui
Riassunto
di VulDB • 19/06/2026
text-generation-webui è un'interfaccia web open-source per l'esecuzione di Large Language Models. Prima della versione 4.3, una vulnerabilità di path traversal non autenticata nella funzione load_grammar() consente la lettura di qualsiasi file sul filesystem del server senza restrizioni relative all'estensione. Gradio non effettua validazione lato server dei valori selezionati nei menu a discesa (dropdown), pertanto un attaccante può inviare payload di directory traversal (ad esempio ../../../etc/passwd) tramite l'API e ricevere il contenuto completo del file nella risposta. Questa vulnerabilità è risolta nella versione 4.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.