2.11.2 及之前的版本存在服务器端请求伪造和跨站脚本漏洞。该漏洞不仅可实现对内部 HTTP 端点的读取访问，还可使用 HTTP POST、PUT 和其他方法实现写入访问。攻击者还可以利用这一漏洞，通过这些开放代理转发针对其他互联网目标的恶意流量，从而掩盖其源 IP。截至发稿时，该漏洞还没有补丁，但已有其他缓解策略。用户可以避免将应用程序暴露在公共互联网上，如果将应用程序暴露在互联网上，则应确保它是一个孤立的网络，不能访问任何其他内部资源。

GitHub

Release v2.11.3 Security update & minor changes · ChatGPTNextWeb/ChatGPT-Next-Web

WarningIf you are deploying NextChat via docker or other on-premise environment, we recommend you update to latest version v2.11.3ASAP.
Risk Exposure: Services in the unisolated private network dep...