PromtEngineer localGPT LLM Prompt server.py _route_using_overviews インジェクション

PromptEngineerのlocalGPTにおいて、ファイルbackend/server.pyの関数routeusing_overviewsにインジェクションの脆弱性が発見されました。この脆弱性はCVE-2026-5002として分類されており、リモートの攻撃者がアプリケーションを操作することを可能にします。CVSSの深刻度は7.3であり、高いリスクを示しています。この脆弱性は、入力のサニタイズが不十分であることに起因し、悪意のあるコードのインジェクションを可能にします。localGPTは継続的なリリースシステムを使用しているため、影響を受けるバージョンの情報は動的であり、特定が困難な場合があります。公式な修正プログラムが提供されていないにもかかわらず、利用可能になり次第、更新を監視し、修正プログラムを適用することが重要です。

Organizations and individuals utilizing localGPT for local LLM prompting are at risk. This includes developers experimenting with LLMs, researchers building custom applications, and anyone relying on localGPT for sensitive tasks. The rolling release model means that even users who believe they are running the latest version may still be vulnerable if they have not implemented appropriate mitigation strategies.

• python: Monitor the backend/server.py file for unauthorized modifications. Use file integrity monitoring tools to detect changes.

Get-ChildItem -Path "C:\path\to\localGPT\backend\server.py" -Recurse | Get-FileHash | Where-Object {$_.Hash -ne "<original_hash>"} 

• generic web: Examine access logs for unusual requests targeting the LLM Prompt Handler endpoint. Look for patterns indicative of injection attempts.

grep -i "injection|malicious" /var/log/apache2/access.log

1. 2026-03-28Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-28
3. 更新日2026-03-30
4. EPSS 更新日2026-04-04

CVE-2026-5002に対する公式な修正プログラムが存在しないため、主な軽減策は、localGPTアプリケーションを信頼できないネットワークへの露出を制限することです。インジェクションの脆弱性を特定して修正するために、ソースコードをレビューすることを強くお勧めします。データ検証やエスケープなどの厳格な入力制御を実装することで、エクスプロイトを防止するのに役立ちます。アプリケーションログを監視して、疑わしいアクティビティがないか確認することも重要なプラクティスです。解決策がリリースされるまで、現在の機能に不可欠でない場合は、routeusing_overviews関数を一時的に無効にすることを検討してください。公式な修正プログラムがないことは、セキュリティデューデリジェンスの重要性を強調しています。