PT-2026-22405
CVE-2026-27167
·
تاريخ النشر
2026-02-27
·
تاريخ التحديث
2026-03-05
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Gradio، الإصدارات من 4.16.0 إلى 6.5.9
الوصف
Gradio هو حزمة Python مخصصة لإنشاء النماذج الأولية بسرعة. تتعامل التطبيقات غير المستضافة على Hugging Face Spaces، من الإصدارات 4.16.0 إلى 6.5.9، بشكل غير صحيح مع مكونات OAuth مثل
gr.LoginButton. يؤدي الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) /login/huggingface إلى تشغيل عملية يقوم فيها الخادم باسترداد رمز الوصول الخاص بك إلى Hugging Face وتخزينه في ملف تعريف ارتباط الجلسة. يمكن للمهاجمين عن بُعد فك تشفير ملف تعريف الارتباط هذا، الموقّع بسر مدمج (”-v4“)، مما قد يؤدي إلى سرقة بيانات الاعتماد. تحدث هذه الثغرة الأمنية عندما يكون التطبيق متاحًا عبر شبكة.التوصيات
قم بالتحديث إلى الإصدار 6.6.0 من Gradio أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾