CVE-2026-54009
Təsvir
Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus süni intellekt platformasıdır. 0.9.6 versiyasından əvvəl, POST /api/chat/completions sorğusu elə bir image_url.url dəyəri qəbul edir ki, bu dəyər http://, https:// və ya data:image/ ilə başlamadıqda fayl ID-si kimi şərh edilir və mülkiyyət yoxlaması aparılmadan qlobal fayllar cədvəlində axtarılır. Buna görə də autentifikasiya olunmuş istifadəçi image_url.url dəyərini digər istifadəçinin fayl ID-si ilə təyin edə bilər, server həmin faylı diskdən oxuyur, onu base64 formatında kodlaşdırır və data URI-ni LLM sorğusuna daxil edir. Daha sonra istifadəçi LLM-ə faylı təsvir etmək və ya OCR etmək tapşırığı verir və məzmunu geri oxuyur. Bu zəiflik 0.9.6 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- openwebui open_webui0.9.6 və ya daha yeni versiya
- open-webui0.9.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.