PT-2026-54771 · Gradio · Gradio

Abidlabs · Publicado 2026-07-01 · Atualizado 2026-07-02 · CVE-2026-49119

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Gradio versões anteriores a 6.16.0

Description Um problema de traversal de caminho existe na função preprocess() do componente FileExplorer. Atacantes não autenticados podem escapar do diretório raiz configurado fornecendo segmentos de caminho que incluam caminhos absolutos ou sequências de traversal de diretório. Isso ocorre porque a função os.path.join pode descartar o prefixo root dir ao processar esses segmentos manipulados, resultando na leitura arbitrária de arquivos ou na exposição de arquivos sensíveis localizados fora do diretório pretendido.

Recommendations Atualize o Gradio para a versão 6.16.0 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-49119

Produtos afetados

Gradio

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/49xxx/CVE-2026-49119.json · Exploit
• https://github.com/gradio-app/gradio/pull/13437 · Correção
• https://github.com/gradio-app/gradio/releases/tag/gradio%406.16.0 · Nota
• https://github.com/gradio-app/gradio/commit/97d541f3d5fd05b2587a69ecc94b68fe5d2d7004 · Correção
• https://github.com/gradio-app/gradio · Nota
• https://t.me/CVEtracker/58608 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-49119 · Nota de Segurança
• https://t.me/cveNotify/184984 · Publicação no Telegram
• https://vulncheck.com/advisories/gradio-path-traversal-via-fileexplorer-preprocess · Correção
• https://osv.dev/vulnerability/CVE-2026-49119 · Aviso do Fabricante