CVE-2026-34225

Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus süni intellekt platformasıdır. 0.7.2 və daha aşağı versiyalarda təsvirin prompt vasitəsilə redaktə edilməsinə imkan verən funksionallıqda Kor Server Tərəfli Sorğu Saxtakarlığı (Blind Server Side Request Forgery - SSRF) mövcuddur. Təsirə məruz qalan funksiya, domen üzərində heç bir məhdudiyyət olmadan istifadəçi tərəfindən təqdim edilmiş URL-ə GET sorğusu göndərir ki, bu da lokal ünvan sahəsinə girişə imkan verir. SSRF kor olduğu üçün (cavab oxuna bilmir), əsas təsir lokal şəbəkənin portlarının skan edilməsidir, çünki GET sorğusunun uğurlu və ya uğursuz olması əsasında portun açıq olub-olmadığını müəyyən etmək mümkündür. Cavablardakı bu fərqliliklər bütün port diapazonunu nəzərdən keçirmək və açıq portları müəyyən etmək üçün avtomatlaşdırıla bilər. Əgər açıq portda işləyən xidmət təyin edilərsə, həmin xidmət vəziyyəti dəyişdirən GET sorğusu son nöqtələri (endpoints) təklif etdiyi təqdirdə, hücumçu onunla mənalı şəkildə qarşılıqlı əlaqə qura bilər. Bu problem nəşr edildiyi vaxta qədər həll olunmamışdı.