Iniciar sesión
Deutsch English Español Polski
Media

gradio Server Side Request Forgery vulnerability

  • Publicada: 05.11.2024
  • Actualizado: 11.10.2026 15:17

In gradio <=4.42.0, the gr.DownloadButton function has a hidden server-side request forgery (SSRF) vulnerability. The reason is that within the save_url_to_cache function, there are no restrictions on the URL, which allows access to local target resources. This can lead to the download of local resources and sensitive information.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) gradio <= 4.42.0 sin corrección

Referencias

Puntuación CVSS 6.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE)
CWE-918
Plataforma
Python (PyPI)
Paquete
gradio
Publicada
05.11.2024
Actualizado
11.10.2026 15:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-1408 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-3gf9-wv65-gwh9 - CC BY 4.0

Historial de vulnerabilidades: gradio

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (51) en el archivo
Entradas en total
51
Primera → última
12.2021 07.2026
Sin corrección
13
Explotada en ataques
0

Distribución por gravedad

  • Crítica 5
  • Alta 19
  • Media 22
  • Baja 5

Divulgaciones por año

Gravedad:
  1. Gradio before 6.16.0 contain a path traversal vulnerability in the FileExplorer component's preprocess() method that allows unauthenticated attackers to escape the configured root directory by supplyi
    Alta CVE-2026-49119 < 6.16.0 6.16.0
  2. Gradio has SSRF via Malicious `proxy_url` Injection in `gr.load()` Config Processing
    Alta · 8.2 CVE-2026-28416 < 6.6.0 6.6.0
  3. Gradio is Vulnerable to Absolute Path Traversal on Windows with Python 3.13+
    Alta · 7.5 CVE-2026-28414 < 6.7.0 6.7.0
  4. Gradio DOS in multipart boundry while uploading the file
    Alta · 7.5 CVE-2024-8966 <= 5.22.0 sin corrección
  5. Gradio Vulnerable to Denial of Service (DoS) via Crafted HTTP Request
    Alta · 7.5 CVE-2024-10624 >= 4.38.0, <= 5.0.0-beta.2 sin corrección
  6. Gradio Vulnerable to Arbitrary File Deletion
    Alta · 8.2 CVE-2024-10648 >= 4.0.0, <= 5.0.0b2 sin corrección
  7. Gradio Vulnerable to Denial of Service (DoS) via Crafted Zip Bomb
    Alta · 7.5 CVE-2024-10569 >= 4.0.0, <= 5.0.0b2 sin corrección
  8. Gradio Blocked Path ACL Bypass Vulnerability
    Crítica CVE-2025-23042 < 5.11.0 5.11.0
  9. gradio Server Side Request Forgery vulnerability esta entrada
    Media · 6.5 CVE-2024-48052 <= 4.42.0 sin corrección
  10. Gradio uses insecure communication between the FRP client and server
    Alta · 8.1 CVE-2024-47871 < 5.0.0 5.0.0
  11. Gradio has a race condition in update_root_in_config may redirect user traffic
    Alta · 7.0 CVE-2024-47870 < 5.0.0 5.0.0
  12. Gradio lacks integrity checking on the downloaded FRP client
    Alta · 7.5 CVE-2024-47867 < 5.0.0 5.0.0
  13. Gradios's CORS origin validation is not performed when the request has a cookie
    Alta · 8.8 CVE-2024-47084 < 4.44.0 4.44.0
  14. Gradio allows users to access arbitrary files
    Alta · 8.1 CVE-2024-1728 < 4.19.2 4.19.2
  15. Server-Side Request Forgery in gradio
    Alta · 8.6 CVE-2024-4325 <= 4.36.0 sin corrección
  16. A local file inclusion vulnerability exists in the JSON component of gradio-app/gradio version 4.25. The vulnerability arises from improper input validation in the `postprocess()` function within `gra
    Alta · 7.5 CVE-2024-4941 < 4.31.4 4.31.4
  17. A command injection vulnerability exists in the gradio-app/gradio repository, specifically within the 'test-functional.yml' workflow. The vulnerability arises due to improper neutralization of special
    Crítica · 9.1 CVE-2024-4253 < 4.29.0 4.29.0
  18. Gradio before 4.20 allows credential leakage on Windows.
    Alta · 7.5 CVE-2024-34510 < 4.20.0 4.20.0
  19. gradio vulnerable to Path Traversal
    Alta · 7.5 CVE-2024-1561 < 4.13.0 4.13.0
  20. gradio Server-Side Request Forgery vulnerability
    Alta · 7.3 CVE-2024-2206 < 4.18.0 4.18.0
Mostrar más (5) Mostrando 20 de 25

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.