CVE-2026-37006
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność w punkcie końcowym WebSocket w gpt-researcher w wersji 0.14.7 i wcześniejszych. Nieuwierzytelniony zdalny atakujący może osiągnąć wykonanie kodu poprzez złośliwe konfiguracje Model Context Protocol.
Ocena ryzyka
Atakujący bez uwierzytelnienia może wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad systemem i naruszenia poufności danych.
Rekomendacja
Zaktualizuj gpt-researcher do najnowszej wersji. Ogranicz dostęp do punktu końcowego WebSocket i waliduj wszystkie konfiguracje MCP.
Inne podatności w gpt-researcher
Zobacz wszystkie- CVE-2025-65720Krytyczne
W GPT Researcher w wersji 3.3.7 wykryto podatność umożliwiającą zdalne wykonanie dowolnych poleceń na systemie ofiary. Atak wymaga interakcji użytkownika z spreparowaną stroną HTML.
- CVE-2026-5633Wysokie
Podatność w gpt-researcher do wersji 3.4.3 w komponencie ws Endpoint. Manipulacja argumentem source_urls może prowadzić do fałszowania żądań po stronie serwera (SSRF). Atak jest zdalny, exploit został publicznie ujawniony.
- CVE-2026-5632Wysokie
W projekcie gpt-researcher do wersji 3.4.3 wykryto brak uwierzytelnienia w nieznanej funkcji endpointu HTTP REST API. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-5631Wysokie
Podatność w narzędziu gpt-researcher do wersji 3.4.3. Funkcja extract_command_data w pliku backend/server/server_utils.py w komponencie WebSocket pozwala na zdalne wstrzyknięcie kodu poprzez manipulację argumentem args. Exploit został ujawniony publicznie.
- CVE-2026-5630Średnie
W projekcie assafelovic gpt-researcher do wersji 3.4.3 włącznie znaleziono podatność XSS w komponencie Report API w pliku backend/server/app.py.
- CVE-2026-5625Średnie
gpt-researcher do wersji 3.4.3 ma podatność XSS w interfejsie WebSocket przez argument 'task' w pliku researcher.py. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the WebSocket endpoint of gpt-researcher v0.14.7 and before allows an unauthenticated remote attacker to achieve code execution via malicious Model Context Protocol configurations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS