CVE-2026-45397
Təsvir
Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus süni intellekt platformasıdır. 0.9.5 versiyasından əvvəl, GET /api/v1/retrieval/ sorğusu hər hansı autentifikasiya olunmamış HTTP klientinə canlı RAG konfiqurasiyasını qaytarır. Heç bir Authorization başlığına, kukiyə və ya API açarına ehtiyac yoxdur. Eyni marşrutdakı bütün qonşu son nöqtələr (/embedding, /config) get_admin_user tərəfindən düzgün şəkildə qorunur ki, bu da həmin boşluğun hədəflənmiş bir səhv olduğunu göstərir. Bu zəiflik 0.9.5 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- openwebui open_webui0.9.5 və ya daha yeni versiya
- open-webui0.9.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openwebui open_webui | v < 0.9.5 | 0.9.5 |
| open-webuiPyPI | v < 0.9.5 | 0.9.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.