CVE-2026-5625
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
gpt-researcher do wersji 3.4.3 ma podatność XSS w interfejsie WebSocket przez argument 'task' w pliku researcher.py. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary, prowadząc do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj gpt-researcher do wersji powyżej 3.4.3 lub zastosuj dostępne łatki.
Inne podatności w gpt-researcher
Zobacz wszystkie- CVE-2026-37006Krytyczne
Podatność w punkcie końcowym WebSocket w gpt-researcher w wersji 0.14.7 i wcześniejszych. Nieuwierzytelniony zdalny atakujący może osiągnąć wykonanie kodu poprzez złośliwe konfiguracje Model Context Protocol.
- CVE-2025-65720Krytyczne
W GPT Researcher w wersji 3.3.7 wykryto podatność umożliwiającą zdalne wykonanie dowolnych poleceń na systemie ofiary. Atak wymaga interakcji użytkownika z spreparowaną stroną HTML.
- CVE-2026-5633Wysokie
Podatność w gpt-researcher do wersji 3.4.3 w komponencie ws Endpoint. Manipulacja argumentem source_urls może prowadzić do fałszowania żądań po stronie serwera (SSRF). Atak jest zdalny, exploit został publicznie ujawniony.
- CVE-2026-5632Wysokie
W projekcie gpt-researcher do wersji 3.4.3 wykryto brak uwierzytelnienia w nieznanej funkcji endpointu HTTP REST API. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-5631Wysokie
Podatność w narzędziu gpt-researcher do wersji 3.4.3. Funkcja extract_command_data w pliku backend/server/server_utils.py w komponencie WebSocket pozwala na zdalne wstrzyknięcie kodu poprzez manipulację argumentem args. Exploit został ujawniony publicznie.
- CVE-2026-5630Średnie
W projekcie assafelovic gpt-researcher do wersji 3.4.3 włącznie znaleziono podatność XSS w komponencie Report API w pliku backend/server/app.py.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in assafelovic gpt-researcher up to 3.4.3. This issue affects some unknown processing of the file gpt_researcher/skills/researcher.py of the component WebSocket Interface. Executing a manipulation of the argument task can lead to cross site scripting. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.