CVE-2024-5186

imartinez/privategpt versão 0.5.0

Existe uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) na seção de upload de arquivos do software. Esse problema permite que invasores enviem solicitações maliciosas, o que pode resultar em acesso não autorizado à rede local e a informações confidenciais. Ao manipular o parâmetro path em uma solicitação de upload de arquivo, um invasor pode fazer com que o aplicativo envie solicitações arbitrárias a serviços internos, incluindo o endpoint de metadados da AWS. Isso pode levar à exposição de servidores internos e dados confidenciais.

Para a versão 0.5.0 do imartinez/privategpt, como solução temporária, considere restringir o acesso à seção de upload de arquivos até que uma correção esteja disponível. Evite usar o parâmetro path em solicitações de upload de arquivos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.