CVE-2026-37012

WysokieCVSS 7.5

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Podatność w PentestGPT 1.0.0 w pliku core/langfuse.py pozwala zdalnym atakującym na ujawnienie wrażliwych danych telemetrycznych użytkowników. Dzieje się to poprzez twardo zakodowane poświadczenia API.

Ocena ryzyka

Ujawnienie danych telemetrycznych może naruszyć prywatność użytkowników i prowadzić do nieautoryzowanego dostępu do systemów monitorujących, co może być wykorzystane do dalszych ataków.

Rekomendacja

Należy natychmiast usunąć twardo zakodowane poświadczenia z kodu, użyć bezpiecznego przechowywania sekretów i zaktualizować PentestGPT do najnowszej wersji.

Inne podatności w PentestGPT

CVE-2026-76993Średnie
W produkcie GreyDGL PentestGPT do wersji 1.0.0 wykryto podatność w komponencie Web-Page Crawling. Manipulacja argumentem Traceback prowadzi do wstrzyknięcia (injection). Atak może być wykonany zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność. Exploit został publicznie ujawniony i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability in pentestgpt/core/langfuse.py in PentestGPT 1.0.0 allows remote attackers to disclose sensitive user telemetry data via hardcoded API credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS