MetaGPT में एक क्रॉस-साइट रिक्वेस्ट फोर्जरी (Cross-Site Request Forgery) हमले के माध्यम से eval इंजेक्शन है

यह CSRF भेद्यता हमलावरों को उपयोगकर्ता की जानकारी के बिना, उपयोगकर्ता के खाते में अनधिकृत क्रियाएं करने की अनुमति देती है। एक हमलावर उपयोगकर्ता को एक दुर्भावनापूर्ण वेबसाइट पर रीडायरेक्ट कर सकता है जो स्वचालित रूप से MetaGPT एप्लिकेशन के साथ अनुरोध भेजता है, जिससे हमलावर उपयोगकर्ता की ओर से डेटा को संशोधित या हटा सकता है। यह डेटा हानि, खाता समझौता और अन्य गंभीर परिणाम उत्पन्न कर सकता है। चूंकि यह भेद्यता दूर से शोषण योग्य है और सार्वजनिक रूप से खुलासा की गई है, इसलिए इसका शोषण होने का खतरा अधिक है।

Organizations and individuals utilizing MetaGPT FoundationAgents versions 0.8.2 and earlier, particularly those integrating the Mineflayer HTTP API with other systems, are at significant risk. Shared hosting environments where multiple users share the same MetaGPT instance are especially vulnerable, as an attacker could potentially exploit the vulnerability on behalf of other users.

• python / server:

import requests
from bs4 import BeautifulSoup

# Example: Check for suspicious requests to the API
url = "http://your-metagpt-instance/api/mineflayer"
response = requests.get(url)

if response.status_code == 200:
    soup = BeautifulSoup(response.content, 'html.parser')
    # Look for unexpected parameters or actions
    if soup.find('param', {'name': 'malicious_action'}) is not None:
        print("Potential CSRF attack detected!")

• generic web:

curl -I http://your-metagpt-instance/api/mineflayer | grep -i 'referer'

1. 2026-04-11Disclosure

   disclosure

1. आरक्षित2026-04-11
2. प्रकाशित2026-04-11
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-19

MetaGPT को नवीनतम संस्करण में अपडेट करना इस भेद्यता को दूर करने का सबसे प्रभावी तरीका है। यदि अपडेट करना तत्काल संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग CSRF हमलों को रोकने के लिए किया जा सकता है। WAF को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जो CSRF टोकन की कमी या अमान्य CSRF टोकन के साथ आते हैं। इसके अतिरिक्त, एप्लिकेशन-स्तरीय सुरक्षा उपायों, जैसे कि उपयोगकर्ता इनपुट को मान्य करना और संवेदनशील क्रियाओं के लिए दो-कारक प्रमाणीकरण लागू करना, जोखिम को कम करने में मदद कर सकता है। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, एप्लिकेशन का परीक्षण करें।