FICHE CVE

CVE-2026-28415

Publiée le 2026-02-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications Gradio utilisant OAuth (comme celles hébergées sur Hugging Face Spaces) sont sensibles à une faille de redirection ouverte. Un attaquant non authentifié peut envoyer un lien spécialement conçu à un utilisateur qui, lors de la connexion ou de la déconnexion, le redirigera automatiquement vers un site externe malveillant. Cela nécessite une interaction de l'utilisateur pour cliquer sur le lien, mais peut être utilisé pour faciliter des attaques de phishing.

CVSS 3.14.3 MOYENNE

Type de faiblesse

Publiée2026-02-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Gradio is an open-source Python package designed for quick prototyping. Prior to version 6.6.0, the _redirect_to_target() function in Gradio's OAuth flow accepts an unvalidated _target_url query parameter, allowing redirection to arbitrary external URLs. This affects the /logout and /login/callback endpoints on Gradio apps with OAuth enabled (i.e. apps running on Hugging Face Spaces with gr.LoginButton). Starting in version 6.6.0, the _target_url parameter is sanitized to only use the path, query, and fragment, stripping any scheme or host.