CVE-2026-5000 描述了 localGPT 中的一个漏洞，该漏洞可能导致缺少身份验证。该漏洞存在于 backend/server.py 的 LocalGPTHandler 函数中，攻击者可以远程利用此漏洞。受影响的版本包括 4d41c7d1713b16b216d8e062e51a5dd88b20b054 及以下版本。由于目前没有官方补丁，用户应采取其他缓解措施。
在PromptEngineer的localGPT中，发现了在版本4d41c7d1713b16b216d8e062e51a5dd88b20b054之前的漏洞。此漏洞影响了backend/server.py文件的LocalGPTHandler函数，特别是API Endpoint组件。对BaseHTTPRequestHandler参数的操作导致缺少身份验证机制，允许远程攻击者在未经适当验证的情况下访问系统。由于localGPT采用滚动发布模型，因此无法通过传统方式获取有关受影响或更新版本的版本特定信息。已联系供应商。
此漏洞存在于处理API请求的LocalGPTHandler函数中。攻击者可以通过发送操纵BaseHTTPRequestHandler参数的恶意请求来利用此漏洞，从而绕过身份验证机制。由于利用是远程的，攻击者无需物理访问系统即可破坏系统。这大大增加了风险，因为攻击者可以从任何具有互联网连接的位置发起攻击。缺少身份验证允许攻击者访问敏感数据或在系统上执行命令，这可能导致严重的后果。
Organizations deploying localGPT in production environments, particularly those with limited network segmentation or inadequate WAF protection, are at significant risk. Shared hosting environments where multiple users share the same localGPT instance are also vulnerable, as a compromise of one user's account could potentially impact others.
• python / server:
ps aux | grep LocalGPTHandler• python / server:
journalctl -u localgpt -f | grep "BaseHTTPRequestHandler"• generic web:
curl -I http://<localgpt_ip>/api/endpoint• generic web:
grep -r "BaseHTTPRequestHandler" /var/log/nginx/access.logdisclosure
漏洞利用状态
EPSS
0.10% (27% 百分位)
CISA SSVC
鉴于localGPT的滚动发布特性，目前没有以点发布形式提供的特定修复程序。主要建议是密切监控供应商提供的更新，并应用任何发布的安全性补丁或配置。实施防火墙和入侵检测系统可以帮助减轻利用风险。此外，将API访问限制为授权用户和应用程序是一种关键实践。我们强烈建议查阅官方localGPT文档，以获取最佳安全实践以及供应商提供的任何特定说明。
更新到在 API 端点中实现适当身份验证的版本。联系供应商获取修复版本，或者在允许访问 LocalGPTHandler 函数之前，实现您自己的身份验证解决方案，例如令牌或凭据验证。
漏洞分析和关键警报直接发送到您的邮箱。
这意味着软件会不断更新新功能和修复，而没有固定的版本。
如果您使用的是4d41c7d1713b16b216d8e062e51a5dd88b20b054之前的localGPT版本，则很可能受到影响。监控供应商的更新。
实施防火墙并限制对API的访问。
直接联系localGPT供应商。
它允许对敏感数据进行未经授权的访问以及执行恶意命令。
CVSS 向量
上传你的 requirements.txt 文件，立即知道是否受影响。