CVE-2024-7043
Açıklama
open-webui/open-webui v0.3.8 sürümündeki hatalı bir erişim kontrolü zafiyeti, saldırganların herhangi bir dosyayı görüntülemesine ve silmesine olanak tanır. Uygulamanın, saldırganın yönetici olup olmadığını doğrulamaması, saldırganın kullanıcılar tarafından yüklenen tüm dosyalar hakkında bilgi almak (ID değerleri dahil) için doğrudan GET /api/v1/files/ arayüzünü çağırmasına izin verir. Saldırgan daha sonra herhangi bir dosya hakkında bilgi edinmek için GET /api/v1/files/{file_id} arayüzünü ve herhangi bir dosyayı silmek için DELETE /api/v1/files/{file_id} arayüzünü kullanabilir.
Nasıl düzeltilir
- open-webui0.3.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | 0.3.8 | — |
| open-webuiPyPI | v ≤ 0.3.8, v < 0.3.16 | 0.3.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.