PromtEngineer localGPT LLM Prompt server.py _route_using_overviews इंजेक्शन

PromptEngineer के localGPT में एक इंजेक्शन भेद्यता (vulnerability) पाई गई है, विशेष रूप से फ़ाइल backend/server.py के फ़ंक्शन routeusing_overviews में। इस भेद्यता को CVE-2026-5002 के रूप में वर्गीकृत किया गया है, जो एक दूरस्थ हमलावर (remote attacker) को एप्लिकेशन को हेरफेर करने की अनुमति देता है। CVSS गंभीरता स्कोर 7.3 है, जो उच्च जोखिम दर्शाता है। यह भेद्यता इनपुट सैनिटाइजेशन (input sanitization) की कमी के कारण उत्पन्न होती है, जो दुर्भावनापूर्ण कोड इंजेक्शन (malicious code injection) की अनुमति देती है। चूंकि localGPT एक रोलिंग रिलीज़ सिस्टम का उपयोग करता है, इसलिए प्रभावित संस्करण जानकारी गतिशील हो सकती है और उसे निर्धारित करना मुश्किल हो सकता है। किसी आधिकारिक फिक्स (fix) की पेशकश नहीं की गई है, हालांकि, अपडेट की निगरानी करना और जैसे ही वे उपलब्ध हों, फिक्स लागू करना महत्वपूर्ण है।

Organizations and individuals utilizing localGPT for local LLM prompting are at risk. This includes developers experimenting with LLMs, researchers building custom applications, and anyone relying on localGPT for sensitive tasks. The rolling release model means that even users who believe they are running the latest version may still be vulnerable if they have not implemented appropriate mitigation strategies.

• python: Monitor the backend/server.py file for unauthorized modifications. Use file integrity monitoring tools to detect changes.

Get-ChildItem -Path "C:\path\to\localGPT\backend\server.py" -Recurse | Get-FileHash | Where-Object {$_.Hash -ne "<original_hash>"} 

• generic web: Examine access logs for unusual requests targeting the LLM Prompt Handler endpoint. Look for patterns indicative of injection attempts.

grep -i "injection|malicious" /var/log/apache2/access.log

1. 2026-03-28Disclosure

   disclosure

1. आरक्षित2026-03-27
2. प्रकाशित2026-03-28
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-04

CVE-2026-5002 के लिए आधिकारिक फिक्स की अनुपस्थिति के कारण, प्राथमिक शमन (mitigation) localGPT एप्लिकेशन को अविश्वसनीय नेटवर्क पर एक्सपोजर (exposure) को सीमित करना है। इंजेक्शन भेद्यता की पहचान करने और ठीक करने के लिए स्रोत कोड की समीक्षा करने की पुरजोर अनुशंसा की जाती है। डेटा सत्यापन और एस्केपिंग (escaping) जैसे सख्त इनपुट नियंत्रणों को लागू करने से शोषण को रोकने में मदद मिल सकती है। एप्लिकेशन लॉग की निगरानी करके संदिग्ध गतिविधि की जांच करना भी एक महत्वपूर्ण अभ्यास है। यदि यह वर्तमान कार्यक्षमता के लिए आवश्यक नहीं है, तो समाधान जारी होने तक अस्थायी रूप से routeusing_overviews फ़ंक्शन को अक्षम करने पर विचार करें। आधिकारिक फिक्स की कमी सुरक्षा परिश्रम (diligence) के महत्व पर प्रकाश डालती है।