assafelovic gpt-researcher ws एंडपॉइंट सर्वर-साइड रिक्वेस्ट फोर्जरी

asafeovic के gpt-researcher लाइब्रेरी में एक सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) भेद्यता की पहचान की गई है, जो 3.4.3 से पहले के संस्करणों को प्रभावित करती है। यह भेद्यता 'ws Endpoint' घटक के भीतर एक अज्ञात फ़ंक्शन में मौजूद है, और इसे source_urls तर्क को हेरफेर करके शोषण किया जा सकता है। एक दूरस्थ हमलावर इस खामी का लाभ उठाकर सर्वर द्वारा एक्सेस नहीं किए जाने वाले आंतरिक या बाहरी संसाधनों के लिए अनुरोध भेज सकता है, जिससे सिस्टम की गोपनीयता, अखंडता या उपलब्धता से समझौता हो सकता है। CVSS को 7.3 का स्कोर दिया गया है, जो मध्यम से उच्च जोखिम दर्शाता है। भेद्यता का सार्वजनिक प्रकटीकरण शोषण के जोखिम को बढ़ाता है, और परियोजना की प्रतिक्रिया की कमी स्थिति को और खराब करती है।

Organizations using gpt-researcher in their Node.js applications, particularly those exposing the ws endpoint to external networks, are at risk. This includes developers integrating gpt-researcher into custom applications and those relying on it as a dependency in larger projects. The lack of response from the project maintainers increases the risk, as timely security updates are unlikely.

• nodejs: Use npm audit to check for vulnerabilities in your project dependencies. Look for gpt-researcher versions prior to a potential patch.

npm audit gpt-researcher

• generic web: Monitor access logs for requests to the ws endpoint with unusual or internal URLs.

grep 'ws endpoint' access.log | grep 'internal.domain'

1. 2026-04-06Disclosure

   disclosure

1. आरक्षित2026-04-05
2. प्रकाशित2026-04-06
3. EPSS अद्यतन2026-04-13

gpt-researcher परियोजना ने अभी तक कोई समाधान प्रदान नहीं किया है, इसलिए तत्काल शमन में 3.4.3 से पहले के संस्करणों में gpt-researcher का उपयोग करने से बचना शामिल है। यदि लाइब्रेरी आवश्यक है, तो source_urls तर्क के लिए मजबूत इनपुट सत्यापन नियंत्रण लागू किए जाने चाहिए, अनुमत URL को एक श्वेतसूची तक सीमित करना चाहिए। इसके अतिरिक्त, सर्वर से आंतरिक संसाधनों तक पहुंच को सीमित करने के लिए फ़ायरवॉल और नेटवर्क नियमों को कॉन्फ़िगर किया जाना चाहिए। असामान्य ट्रैफ़िक पैटर्न के लिए सर्वर लॉग की सक्रिय रूप से निगरानी करने से संभावित SSRF हमलों का पता लगाने और उनका जवाब देने में मदद मिल सकती है। सुरक्षा अपडेट जारी करने के लिए परियोजना से संपर्क करने की पुरजोर सिफारिश की जाती है।