CVE-2024-7043
Təsvir
open-webui/open-webui v0.3.8 versiyasındakı yanlış giriş nəzarəti zəifliyi hücumçulara hər hansı faylı görmək və silmək imkanı verir. Tətbiq hücumçunun administrator olub-olmadığını yoxlamır ki, bu da hücumçuya bütün istifadəçilər tərəfindən yüklənmiş fayllar haqqında məlumatları (ID dəyərləri daxil olmaqla) əldə etmək üçün birbaşa GET /api/v1/files/ interfeysini çağırmağa imkan verir. Daha sonra hücumçu hər hansı fayl haqqında məlumat almaq üçün GET /api/v1/files/{file_id} interfeysindən və hər hansı faylı silmək üçün DELETE /api/v1/files/{file_id} interfeysindən istifadə edə bilər.
Necə düzəltmək olar
- open-webui0.3.16 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openwebui open_webui | 0.3.8 | — |
| open-webuiPyPI | v ≤ 0.3.8, v < 0.3.16 | 0.3.16 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.