Iniciar sesión
Deutsch English Español Polski
Media

Gradio before version 6.15.0 contains a cookie injection vulnerability that allows remote attackers to perform cross-Space session fixation by exploiting a shared module-level HTTP client used across

  • Publicada: 27.05.2026
  • Actualizado: 11.10.2026 14:18

Gradio before version 6.15.0 contains a cookie injection vulnerability that allows remote attackers to perform cross-Space session fixation by exploiting a shared module-level HTTP client used across all users in the reverse proxy endpoint. Attackers controlling any HF Space can return a parent-domain cookie that the shared client stores and automatically replays into all subsequent proxy requests to other legitimate Spaces, affecting all users of the same Gradio deployment.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) gradio < 6.15.0 6.15.0

Referencias

Puntuación CVSS 6.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Debilidad (CWE)
CWE-384
Plataforma
Python (PyPI)
Paquete
gradio
Publicada
27.05.2026
Actualizado
11.10.2026 14:18

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-7hp7-4p35-3cx2 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2178 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: gradio

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (51) en el archivo
Entradas en total
51
Primera → última
12.2021 07.2026
Sin corrección
13
Explotada en ataques
0

Distribución por gravedad

  • Crítica 5
  • Alta 19
  • Media 22
  • Baja 5

Divulgaciones por año

Gravedad:
  1. Gradio before 6.16.0 contain a path traversal vulnerability in the FileExplorer component's preprocess() method that allows unauthenticated attackers to escape the configured root directory by supplyi
    Alta CVE-2026-49119 < 6.16.0 6.16.0
  2. Gradio before version 6.15.0 contains a cookie injection vulnerability that allows remote attackers to perform cross-Space session fixation by exploiting a shared module-level HTTP client used across esta entrada
    Media · 6.8 CVE-2026-48545 < 6.15.0 6.15.0
  3. Gradio has SSRF via Malicious `proxy_url` Injection in `gr.load()` Config Processing
    Alta · 8.2 CVE-2026-28416 < 6.6.0 6.6.0
  4. Gradio is Vulnerable to Absolute Path Traversal on Windows with Python 3.13+
    Alta · 7.5 CVE-2026-28414 < 6.7.0 6.7.0
  5. Gradio DOS in multipart boundry while uploading the file
    Alta · 7.5 CVE-2024-8966 <= 5.22.0 sin corrección
  6. Gradio Vulnerable to Denial of Service (DoS) via Crafted HTTP Request
    Alta · 7.5 CVE-2024-10624 >= 4.38.0, <= 5.0.0-beta.2 sin corrección
  7. Gradio Vulnerable to Arbitrary File Deletion
    Alta · 8.2 CVE-2024-10648 >= 4.0.0, <= 5.0.0b2 sin corrección
  8. Gradio Vulnerable to Denial of Service (DoS) via Crafted Zip Bomb
    Alta · 7.5 CVE-2024-10569 >= 4.0.0, <= 5.0.0b2 sin corrección
  9. Gradio Blocked Path ACL Bypass Vulnerability
    Crítica CVE-2025-23042 < 5.11.0 5.11.0
  10. Gradio uses insecure communication between the FRP client and server
    Alta · 8.1 CVE-2024-47871 < 5.0.0 5.0.0
  11. Gradio has a race condition in update_root_in_config may redirect user traffic
    Alta · 7.0 CVE-2024-47870 < 5.0.0 5.0.0
  12. Gradio lacks integrity checking on the downloaded FRP client
    Alta · 7.5 CVE-2024-47867 < 5.0.0 5.0.0
  13. Gradios's CORS origin validation is not performed when the request has a cookie
    Alta · 8.8 CVE-2024-47084 < 4.44.0 4.44.0
  14. Gradio allows users to access arbitrary files
    Alta · 8.1 CVE-2024-1728 < 4.19.2 4.19.2
  15. Server-Side Request Forgery in gradio
    Alta · 8.6 CVE-2024-4325 <= 4.36.0 sin corrección
  16. A local file inclusion vulnerability exists in the JSON component of gradio-app/gradio version 4.25. The vulnerability arises from improper input validation in the `postprocess()` function within `gra
    Alta · 7.5 CVE-2024-4941 < 4.31.4 4.31.4
  17. A command injection vulnerability exists in the gradio-app/gradio repository, specifically within the 'test-functional.yml' workflow. The vulnerability arises due to improper neutralization of special
    Crítica · 9.1 CVE-2024-4253 < 4.29.0 4.29.0
  18. Gradio before 4.20 allows credential leakage on Windows.
    Alta · 7.5 CVE-2024-34510 < 4.20.0 4.20.0
  19. gradio vulnerable to Path Traversal
    Alta · 7.5 CVE-2024-1561 < 4.13.0 4.13.0
  20. gradio Server-Side Request Forgery vulnerability
    Alta · 7.3 CVE-2024-2206 < 4.18.0 4.18.0
Mostrar más (5) Mostrando 20 de 25

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.