CVE-2026-28415
Təsvir
Gradio sürətli prototipləmə üçün nəzərdə tutulmuş açıq mənbəli Python paketidir. Versiya 6.6.0-dan əvvəl Gradio-nun OAuth axınındakı _redirect_to_target() funksiyası təsdiqlənməmiş _target_url sorğu parametrini qəbul edir ki, bu da ixtiyari xarici URL-lərə yönləndirməyə imkan verir. Bu, OAuth aktiv edilmiş Gradio tətbiqlərindəki (məsələn, gr.LoginButton ilə Hugging Face Spaces üzərində işləyən tətbiqlər) /logout və /login/callback son nöqtələrinə təsir göstərir. Versiya 6.6.0-dan başlayaraq, hər hansı sxem və ya hostu silərək, _target_url parametrinin yalnız yol (path), sorğu (query) və fraqmentdən istifadə etməsi üçün təmizlənməsi təmin edilmişdir.
Necə düzəltmək olar
- gradio_project gradio6.6.0 və ya daha yeni versiya
- gradio6.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gradio_project gradio | v < 6.6.0 | 6.6.0 |
| gradioPyPI | v < 6.6.0 | 6.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.