CVE-2026-28415
Açıklama
Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Versiyon 6.6.0 öncesinde, Gradio'nun OAuth akışındaki _redirect_to_target() fonksiyonu doğrulanmamış bir _target_url sorgu parametresini kabul ederek rastgele harici URL'lere yönlendirmeye izin vermektedir. Bu durum, OAuth etkinleştirilmiş Gradio uygulamalarındaki (yani gr.LoginButton ile Hugging Face Spaces üzerinde çalışan uygulamalar) /logout ve /login/callback uç noktalarını etkilemektedir. Versiyon 6.6.0'dan itibaren, _target_url parametresi herhangi bir şema veya ana bilgisayarı temizleyerek yalnızca yol, sorgu ve fragman kullanacak şekilde sanitize edilmiştir.
Nasıl düzeltilir
- gradio_project gradio6.6.0 ya da sonraki bir sürüm
- gradio6.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gradio_project gradio | v < 6.6.0 | 6.6.0 |
| gradioPyPI | v < 6.6.0 | 6.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.