PT-2025-12316 · Significant Gravitas+1 · Autogpt+2

CVE-2025-0454 · Publicado 2025-03-20 · Atualizado 2025-08-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas significant-gravitas/autogpt versões anteriores à v0.4.0

Descrição Foi identificada uma vulnerabilidade de Falsificação de Solicitação no Lado do Servidor (SSRF), decorrente de uma confusão de nome de host entre a função urlparse da biblioteca urllib.parse e a biblioteca requests. Isso pode ser explorado por um usuário mal-intencionado que envia uma URL especialmente elaborada, como http://localhost:@google.com/../, para contornar a verificação de SSRF e realizar um ataque SSRF.

Recomendações Para versões anteriores à v0.4.0, atualize para a versão v0.4.0 ou posterior para resolver o problema. Como medida de contorno temporária, considere restringir o uso da função urlparse e da biblioteca requests para minimizar o risco de exploração. Evite usar URLs especialmente elaboradas no utilitário afetado até que o problema seja resolvido.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-0454

Produtos afetados

Autogpt

Requests

Urllib.Parse

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/0xxx/CVE-2025-0454.json · Exploit
• 🔥 https://huntr.com/bounties/0664fdee-bdc2-4650-8075-74d7b8d3e308 · Exploit
• https://github.com/significant-gravitas/autogpt/commit/ff065cd24c2289878c0abdb9adbf91c305f0d70a · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-0454 · Nota de Segurança
• https://t.me/cveNotify/130957 · Publicação no Telegram
• https://t.me/cveNotify/130533 · Publicação no Telegram
• https://t.me/cvedetector/20716 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-0454 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902670978364432525 · Publicação no Twitter
• https://t.me/cvetracker/19522 · Publicação no Telegram