Iniciar sesión
Deutsch English Español Polski
Alta

Gradio allows users to access arbitrary files

  • Publicada: 25.09.2024
  • Actualizado: 11.10.2026 12:20

Impact

This vulnerability allows users of Gradio applications that have a public link (such as on Hugging Face Spaces) to access files on the machine hosting the Gradio application. This involves intercepting and modifying the network requests made by the Gradio app to the server.

Patches

Yes, the problem has been patched in Gradio version 4.19.2 or higher. We have no knowledge of this exploit being used against users of Gradio applications, but we encourage all users to upgrade to Gradio 4.19.2 or higher.

Fixed in: https://github.com/gradio-app/gradio/commit/16fbe9cd0cffa9f2a824a0165beb43446114eec7 CVE: https://nvd.nist.gov/vuln/detail/CVE-2024-1728

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) gradio < 4.19.2 4.19.2

Referencias

Puntuación CVSS 8.1/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-22
Plataforma
Python (PyPI)
Paquete
gradio
Publicada
25.09.2024
Actualizado
11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-m842-4qm8-7gpq - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-345 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: gradio

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (51) en el archivo
Entradas en total
51
Primera → última
12.2021 07.2026
Sin corrección
13
Explotada en ataques
0

Distribución por gravedad

  • Crítica 5
  • Alta 19
  • Media 22
  • Baja 5

Divulgaciones por año

Gravedad:
  1. Gradio before 6.16.0 contain a path traversal vulnerability in the FileExplorer component's preprocess() method that allows unauthenticated attackers to escape the configured root directory by supplyi
    Alta CVE-2026-49119 < 6.16.0 6.16.0
  2. Gradio has SSRF via Malicious `proxy_url` Injection in `gr.load()` Config Processing
    Alta · 8.2 CVE-2026-28416 < 6.6.0 6.6.0
  3. Gradio is Vulnerable to Absolute Path Traversal on Windows with Python 3.13+
    Alta · 7.5 CVE-2026-28414 < 6.7.0 6.7.0
  4. Gradio DOS in multipart boundry while uploading the file
    Alta · 7.5 CVE-2024-8966 <= 5.22.0 sin corrección
  5. Gradio Vulnerable to Denial of Service (DoS) via Crafted HTTP Request
    Alta · 7.5 CVE-2024-10624 >= 4.38.0, <= 5.0.0-beta.2 sin corrección
  6. Gradio Vulnerable to Arbitrary File Deletion
    Alta · 8.2 CVE-2024-10648 >= 4.0.0, <= 5.0.0b2 sin corrección
  7. Gradio Vulnerable to Denial of Service (DoS) via Crafted Zip Bomb
    Alta · 7.5 CVE-2024-10569 >= 4.0.0, <= 5.0.0b2 sin corrección
  8. Gradio Blocked Path ACL Bypass Vulnerability
    Crítica CVE-2025-23042 < 5.11.0 5.11.0
  9. Gradio uses insecure communication between the FRP client and server
    Alta · 8.1 CVE-2024-47871 < 5.0.0 5.0.0
  10. Gradio has a race condition in update_root_in_config may redirect user traffic
    Alta · 7.0 CVE-2024-47870 < 5.0.0 5.0.0
  11. Gradio lacks integrity checking on the downloaded FRP client
    Alta · 7.5 CVE-2024-47867 < 5.0.0 5.0.0
  12. Gradios's CORS origin validation is not performed when the request has a cookie
    Alta · 8.8 CVE-2024-47084 < 4.44.0 4.44.0
  13. Gradio allows users to access arbitrary files esta entrada
    Alta · 8.1 CVE-2024-1728 < 4.19.2 4.19.2
  14. Server-Side Request Forgery in gradio
    Alta · 8.6 CVE-2024-4325 <= 4.36.0 sin corrección
  15. A local file inclusion vulnerability exists in the JSON component of gradio-app/gradio version 4.25. The vulnerability arises from improper input validation in the `postprocess()` function within `gra
    Alta · 7.5 CVE-2024-4941 < 4.31.4 4.31.4
  16. A command injection vulnerability exists in the gradio-app/gradio repository, specifically within the 'test-functional.yml' workflow. The vulnerability arises due to improper neutralization of special
    Crítica · 9.1 CVE-2024-4253 < 4.29.0 4.29.0
  17. Gradio before 4.20 allows credential leakage on Windows.
    Alta · 7.5 CVE-2024-34510 < 4.20.0 4.20.0
  18. gradio vulnerable to Path Traversal
    Alta · 7.5 CVE-2024-1561 < 4.13.0 4.13.0
  19. gradio Server-Side Request Forgery vulnerability
    Alta · 7.3 CVE-2024-2206 < 4.18.0 4.18.0
  20. A local file include could be remotely triggered in Gradio due to a vulnerable user-supplied JSON value in an API request.
    Crítica · 9.4 CVE-2024-0964 la fuente no lo indica sin corrección
  21. Gradio makes the `/file` secure against file traversal and server-side request forgery attacks
    Alta · 8.6 CVE-2023-51449 < 4.11.0 4.11.0
  22. Gradio Exposure of Sensitive Information to an Unauthorized Actor vulnerability
    Crítica · 9.6 CVE-2023-6572 < 4.14.0 4.14.0
  23. `gradio` is an open source framework for building interactive machine learning models and demos. Prior to version 2.8.11, `gradio` suffers from Improper Neutralization of Formula Elements in a CSV Fil
    Alta · 8.8 CVE-2022-24770 < 2.8.11 2.8.11
  24. Files on the host computer can be accessed from the Gradio interface
    Crítica · 8.3 CVE-2021-43831 < 2.5.0 2.5.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.