PT-2026-22415 · Gradio · Gradio

Logicx24 · Publicado 2026-02-27 · Atualizado 2026-03-05 · CVE-2026-28416

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Gradio anteriores à 6.6.0

Descrição O Gradio é um pacote Python para prototipagem rápida. Existe uma vulnerabilidade de Server-Side Request Forgery (SSRF) no Gradio que permite a um atacante iniciar solicitações HTTP arbitrárias a partir do servidor da vítima. Isso é possível ao hospedar um Gradio Space malicioso e utilizar a função gr.load() para carregar conteúdo controlado pelo atacante. O proxy url malicioso da configuração é então considerado confiável e adicionado a uma lista de permissões (allowlist), potencialmente concedendo acesso a serviços internos, endpoints de metadados de nuvem e redes privadas por meio da infraestrutura da vítima.

Recomendações Atualize para a versão 6.6.0 ou superior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-28416

GHSA-JMH7-G254-2CQ9

PYSEC-2026-66

Produtos afetados

Gradio

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/28xxx/CVE-2026-28416.json · Exploit
• https://github.com/gradio-app/gradio/security/advisories/GHSA-jmh7-g254-2cq9 · Aviso do Fabricante
• https://github.com/gradio-app/gradio · Nota
• https://github.com/gradio-app/gradio/releases/tag/gradio%406.6.0 · Nota
• https://github.com/gradio-app/gradio/commit/fc7c01ea1e581ef70be98fddf003b0c91315c7cc · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/gradio/PYSEC-2026-66.yaml · Nota
• https://osv.dev/vulnerability/GHSA-jmh7-g254-2cq9 · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2028115815392755905 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2026-66 · Aviso do Fabricante
• https://twitter.com/cracbot/status/2029150078242537546 · Publicação no Twitter
• https://t.me/cveNotify/154319 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2027574539933167901 · Publicação no Twitter
• https://t.me/CVEtracker/46026 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-28416 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2027744225224274321 · Publicação no Twitter