assafelovic gpt-researcher ws エンドポイントにおけるサーバーサイドリクエストフォージェリ

asafeovicのgpt-researcherライブラリにおいて、バージョン3.4.3まで脆弱性が確認されました。この脆弱性は、'ws Endpoint'コンポーネント内の不明な関数に存在し、source_urls引数を操作することで悪用される可能性があります。リモートの攻撃者は、サーバーがアクセスすべきではない内部または外部リソースへのリクエストを送信するためにこの欠陥を利用し、システム機密性、完全性、または可用性を損なう可能性があります。CVSSは7.3のスコアで評価されており、これは中程度から高いリスクを示しています。脆弱性の公開により、悪用のリスクが高まり、プロジェクトからの対応がないことは状況を悪化させています。

Organizations using gpt-researcher in their Node.js applications, particularly those exposing the ws endpoint to external networks, are at risk. This includes developers integrating gpt-researcher into custom applications and those relying on it as a dependency in larger projects. The lack of response from the project maintainers increases the risk, as timely security updates are unlikely.

• nodejs: Use npm audit to check for vulnerabilities in your project dependencies. Look for gpt-researcher versions prior to a potential patch.

npm audit gpt-researcher

• generic web: Monitor access logs for requests to the ws endpoint with unusual or internal URLs.

grep 'ws endpoint' access.log | grep 'internal.domain'

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-05
2. 公開日2026-04-06
3. EPSS 更新日2026-04-13

gpt-researcherプロジェクトが修正を提供していないため、直近の軽減策は、3.4.3より前のバージョンのgpt-researcherの使用を避けることです。ライブラリが不可欠な場合は、source_urls引数に対して堅牢な入力検証コントロールを実装し、許可されたURLをホワイトリストに制限する必要があります。さらに、ファイアウォールとネットワークルールを設定して、サーバーからの内部リソースへのアクセスを制限する必要があります。サーバーログを積極的に監視して、異常なトラフィックパターンを検出し、潜在的なSSRF攻撃に対応することができます。プロジェクトに連絡してセキュリティアップデートのリリースを促すことを強くお勧めします。