CVE-2026-35485 in text-generation-webui
要約
〜によって VulDB • 2026年06月05日
text-generation-webuiは、大規模言語モデル（LLM）を実行するためのオープンソースのWebインターフェースです。バージョン4.3より前では、load_grammar()関数に認証不要のパストラバーサル脆弱性が存在し、拡張子の制限なくサーバー上の任意のファイルを読み取ることが可能でした。Gradioはドロップダウンリストの値をサーバー側で検証しないため、攻撃者はAPI経由でディレクトリトラバーサルのペイロード（例：../../../etc/passwd）をPOSTし、レスポンス内で完全なファイルの内容を取得できます。この脆弱性はバージョン4.3で修正されています。
Once again VulDB remains the best source for vulnerability data.