CVE-2026-54011
Təsvir
Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus (self-hosted) süni intellekt platformasıdır. 0.9.6 versiyasından əvvəl Open WebUI fayl önizləmə panelində Markdown fayllarındakı Mermaid bloklarını render edir və generatsiya olunmuş SVG-ni innerHTML vasitəsilə DOM-a daxil edir. Mermaid securityLevel: 'loose' olaraq konfiqurasiya edildiyi üçün hücumçu tərəfindən idarə olunan Mermaid kontenti bu prosesdə təhlükəsiz olmayan şəkildə render edilə bilər. Markdown önizləmə yolu vasitəsilə işlək payload təsdiqlənmişdir ki, bu da qurbanın brauzerində tətbiqin mənşəyi (origin) altında JavaScript kodunun icrasına səbəb olur. Bu zəiflik 0.9.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openwebui open_webui0.9.6 və ya daha yeni versiya
- open-webui0.9.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.