CVE-2026-5630
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W projekcie assafelovic gpt-researcher do wersji 3.4.3 włącznie znaleziono podatność XSS w komponencie Report API w pliku backend/server/app.py.
Ocena ryzyka
Atak może być przeprowadzony zdalnie, a exploit został opublikowany, co zwiększa ryzyko wykorzystania. Może prowadzić do kradzieży danych lub innych ataków.
Rekomendacja
Skontaktuj się z autorem projektu w celu uzyskania poprawek lub zastosuj tymczasowe zabezpieczenia, takie jak walidacja danych wejściowych.
Inne podatności w gpt-researcher
Zobacz wszystkie- CVE-2026-37006Krytyczne
Podatność w punkcie końcowym WebSocket w gpt-researcher w wersji 0.14.7 i wcześniejszych. Nieuwierzytelniony zdalny atakujący może osiągnąć wykonanie kodu poprzez złośliwe konfiguracje Model Context Protocol.
- CVE-2025-65720Krytyczne
W GPT Researcher w wersji 3.3.7 wykryto podatność umożliwiającą zdalne wykonanie dowolnych poleceń na systemie ofiary. Atak wymaga interakcji użytkownika z spreparowaną stroną HTML.
- CVE-2026-5633Wysokie
Podatność w gpt-researcher do wersji 3.4.3 w komponencie ws Endpoint. Manipulacja argumentem source_urls może prowadzić do fałszowania żądań po stronie serwera (SSRF). Atak jest zdalny, exploit został publicznie ujawniony.
- CVE-2026-5632Wysokie
W projekcie gpt-researcher do wersji 3.4.3 wykryto brak uwierzytelnienia w nieznanej funkcji endpointu HTTP REST API. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-5631Wysokie
Podatność w narzędziu gpt-researcher do wersji 3.4.3. Funkcja extract_command_data w pliku backend/server/server_utils.py w komponencie WebSocket pozwala na zdalne wstrzyknięcie kodu poprzez manipulację argumentem args. Exploit został ujawniony publicznie.
- CVE-2026-5625Średnie
gpt-researcher do wersji 3.4.3 ma podatność XSS w interfejsie WebSocket przez argument 'task' w pliku researcher.py. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in assafelovic gpt-researcher up to 3.4.3. The impacted element is an unknown function of the file backend/server/app.py of the component Report API. This manipulation causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.