A vulnerability has been found in assafelovic gpt-researcher up to 3.4.3. This affects the function extract_command_data of the file backend/server/server_utils.py of the component ws Endpoint. Such manipulation of the argument args leads to code injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
CVE-2026-5631 is a remote code injection vulnerability in gpt-researcher versions up to 3.4.3 affecting the extract_command_data function in the WebSocket endpoint. An attacker can manipulate the args parameter to execute arbitrary code remotely, with public exploits already available.
ثغرة حقن أكواد بعيدة في gpt-researcher تؤثر على دالة extract_command_data في ملف backend/server/server_utils.py. يمكن للمهاجمين البعيدين التلاعب بمعامل args لتنفيذ أكواد تعسفية، والاستغلالات متاحة للعموم.
A code injection flaw exists in gpt-researcher up to version 3.4.3 in the WebSocket endpoint's extract_command_data function. Remote attackers can inject malicious code through the args parameter, and exploits are publicly disclosed.
Immediately upgrade gpt-researcher to version 3.4.4 or later. Implement input validation and sanitization for all WebSocket endpoint parameters, particularly the args parameter in extract_command_data function. Apply network segmentation to restrict WebSocket endpoint access to trusted sources only. Monitor for suspicious WebSocket connections and code execution attempts.
قم بترقية gpt-researcher فوراً إلى الإصدار 3.4.4 أو أحدث. طبق التحقق من صحة المدخلات وتنظيفها لجميع معاملات نقطة WebSocket، خاصة معامل args في دالة extract_command_data. طبق تقسيم الشبكة لتقييد الوصول إلى نقطة WebSocket من مصادر موثوقة فقط. راقب محاولات الاتصال بـ WebSocket المريبة وتنفيذ الأكواد.