CVE-2026-44561
Təsvir
Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus süni intellekt platformasıdır. 0.9.0 versiyasından əvvəl is_user_channel_member funksiyası ChannelMember sətirinin mövcud olub-olmadığını yoxlayır, lakin is_active sahəsini yoxlamır. İstifadəçi qrupdan və ya DM kanalından deaktiv edildikdə (kanal sahibi tərəfindən çıxarıldıqda və ya könüllü şəkildə ayrıldıqda), onların üzvlük sətiri is_active=False və status='left' şəklində qalır. Avtorizasiya yoxlaması bu sahəni nəzərə almadığı üçün, deaktiv edilmiş istifadəçi birbaşa API çağırışları vasitəsilə kanala tam oxuma və yazma girişinə malik olur. Bu zəiflik 0.9.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- openwebui open_webui0.9.0 və ya daha yeni versiya
- open-webui0.9.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openwebui open_webui | v < 0.9.0 | 0.9.0 |
| open-webuiPyPI | v < 0.9.0 | 0.9.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.