PT-2025-52729 · Pypi+1 · Requests+1

Yueyuel · Publicado 2025-12-23 · Atualizado 2025-12-23 · CVE-2025-67743

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Local Deep Research versões 1.3.0 até 1.3.8

Descrição O software é um assistente de pesquisa baseado em IA. Existe uma falha no serviço de download (download service.py) na qual requisições HTTP são feitas utilizando chamadas diretas requests.get(), contornando a proteção contra Server-Side Request Forgery (SSRF) da aplicação (safe requests.py). Isso permite que atacantes potencialmente acessem serviços internos e endpoints de metadados de provedores de nuvem (AWS/GCP/Azure), e realizem reconhecimento da rede interna ao enviar URLs maliciosas através da API. A API está suscetível a URLs maliciosas.

Recomendações Atualize para a versão 1.3.9 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-67743

GHSA-9C54-GXH7-PPJC

Produtos afetados

Local-Deep-Research

Requests

Referências · 9

• 🔥 https://github.com/LearningCircuit/local-deep-research/security/advisories/GHSA-9c54-gxh7-ppjc · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67743.json · Exploit
• https://github.com/LearningCircuit/local-deep-research/commit/b79089ff30c5d9ae77e6b903c408e1c26ad5c055 · Correção
• https://t.me/cveNotify/146629 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-67743 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2003342109034574282 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-67743 · Nota de Segurança
• https://twitter.com/CVEnew/status/2003272594431312151 · Publicação no Twitter
• https://t.me/CVEtracker/40461 · Publicação no Telegram