CVE-2026-54015
Təsvir
Open WebUI tamamilə oflayn rejimdə işləmək üçün hazırlanmış özünə məxsus (self-hosted) süni intellekt platformasıdır. 0.9.6 versiyasından əvvəl, Open WebUI-nin prompt versiya tarixçəsi son nöqtələri (endpoints) URL-dəki prompt_id-ni avtorizasiya edir, lakin daha sonra tarixçə sətirinin həmin prompta aid olduğunu (history_entry.prompt_id == prompt.id) yoxlamadan çağırıcı tərəfindən təqdim edilən tarixçə ID-ləri ilə əməliyyat aparır. Bu, /api/v1/prompts/id/{prompt_id}/history/diff, /api/v1/prompts/id/{prompt_id}/update/version və /api/v1/prompts/id/{prompt_id}/history/{history_id} ünvanlarına təsir göstərir. İdarə etdiyi hər hansı bir prompta giriş imkanı olan autentifikasiya olunmuş istifadəçi, qurbanın prompt_history.id-sinə sahib olduqda, digər istifadəçinin şəxsi prompt tarixçəsini oxuya və ya silə bilər. Bu zəiflik 0.9.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openwebui open_webui0.9.6 və ya daha yeni versiya
- open-webui0.9.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.