PromtEngineer localGPT API Endpoint server.py LocalGPTHandler 認証の欠如

PromptEngineerのlocalGPTにおいて、バージョン4d41c7d1713b16b216d8e062e51a5dd88b20b054以前のバージョンでセキュリティ脆弱性が検出されました。この脆弱性は、backend/server.pyファイルのLocalGPTHandler関数、特にAPI Endpointコンポーネントに影響を与えます。BaseHTTPRequestHandler引数の操作により、認証メカニズムが欠落し、不正な検証なしにリモート攻撃者がアクセスできるようになります。localGPTが継続的リリースモデルを採用しているため、影響を受けるまたは更新されたリリースのバージョン固有の情報は従来の方法では利用できません。ベンダーに連絡しました。

Organizations deploying localGPT in production environments, particularly those with limited network segmentation or inadequate WAF protection, are at significant risk. Shared hosting environments where multiple users share the same localGPT instance are also vulnerable, as a compromise of one user's account could potentially impact others.

• python / server:

ps aux | grep LocalGPTHandler

• python / server:

journalctl -u localgpt -f | grep "BaseHTTPRequestHandler"

• generic web:

curl -I http://<localgpt_ip>/api/endpoint

• generic web:

grep -r "BaseHTTPRequestHandler" /var/log/nginx/access.log

1. 2026-03-28Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-28
3. 更新日2026-04-01
4. EPSS 更新日2026-04-04

localGPTの継続的リリースモデルを考慮すると、ポイントリリースという形で特定の修正は現在利用できません。主な推奨事項は、ベンダーが提供する更新を注意深く監視し、公開されているセキュリティパッチまたは構成を適用することです。ファイアウォールと侵入検知システムの導入は、悪用のリスクを軽減するのに役立ちます。さらに、APIアクセスを承認されたユーザーとアプリケーションに制限することが重要なプラクティスです。ベンダーが提供するセキュリティベストプラクティスと特定の指示については、公式のlocalGPTドキュメントを参照することを強くお勧めします。