Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu DocsGPT i koordynował proces ujawniania informacji.
Podatność CVE-2025-0868 umożliwia zdalne wykonanie kodu przez nieuwierzytelnionego użytkownika. Parsowanie obiektów JSON dzięki funkcji eval() pozwala atakującemu na uruchomienie dowolnego kodu napisanego w języku Python na serwerze dzięki endpointu /api/remote.
Podatność dotyczy wersji od 0.8.1 do 0.12.0 włącznie.
Podziękowania
Za zgłoszenie podatności dziękujemy Erykowi Winiarzowi.
