CVE-2026-35485 in text-generation-webui
Sumário
de VulDB • 01/06/2026
text-generation-webui é uma interface web de código aberto para executar Modelos de Linguagem de Grande Escala (LLMs). Antes da versão 4.3, uma vulnerabilidade de traversal de caminho não autenticada em load_grammar() permite a leitura de qualquer arquivo no sistema de arquivos do servidor, sem restrição de extensão. O Gradio não valida os valores dos dropdowns no lado do servidor, portanto, um atacante pode enviar payloads de traversal de diretório (por exemplo, ../../../etc/passwd) via API e receber o conteúdo completo do arquivo na resposta. Esta vulnerabilidade foi corrigida na versão 4.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.