Vulnerabilidad en imartinez/privategpt (CVE-2024-3403)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

16/05/2024

Última modificación:

17/07/2025

Descripción

imartinez/privategpt versión 0.2.0 es vulnerable a una vulnerabilidad de inclusión de archivos local que permite a los atacantes leer archivos arbitrarios del sistema de archivos. Al manipular la funcionalidad de carga de archivos para ingerir archivos locales arbitrarios, los atacantes pueden explotar la función "Buscar en Documentos" o consultar la IA para recuperar o revelar el contenido de cualquier archivo en el sistema. Esta vulnerabilidad podría provocar varios impactos, que incluyen, entre otros, la ejecución remota de código mediante la obtención de claves SSH privadas, el acceso no autorizado a archivos privados, la divulgación del código fuente que facilita más ataques y la exposición de archivos de configuración.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno