CVE-2024-5186 in privategpt

摘要

由 VulDB • 2026-06-10

imartinez/privategpt 版本 0.5.0 的文件上传部分存在服务器端请求伪造（SSRF）漏洞。该漏洞允许攻击者发送精心构造的请求，从而导致对本地网络的未授权访问以及潜在敏感信息的泄露。具体而言，通过操纵文件上传请求中的“path”参数，攻击者可导致应用程序向内部服务发起任意请求，包括 AWS 元数据端点。此问题可能导致内部服务器和敏感数据的暴露。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: Huntr.dev
• 预定: 2024-05-21
• 披露: 2024-06-06
• 管理: 已接受
• 条目: VDB-267374
• CPE: 准备好
• CWE: CWE-918 (已确认)
• CVSS: 7.2 (NVD)
• EPSS: 0.00344
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2024-5186
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-5186
• CVE Details: https://www.cvedetails.com/cve/CVE-2024-5186/