CVE-2026-34225
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.7.2 ve altı sürümler, bir istem üzerinden görüntü düzenlemeye izin veren işlevselliğinde Kör Sunucu Taraflı İstek Sahteciliği (Blind Server Side Request Forgery) içermektedir. Etkilenen fonksiyon, alan adı üzerinde herhangi bir kısıtlama olmaksızın kullanıcı tarafından sağlanan bir URL'ye GET isteği gerçekleştirmekte ve bu durum yerel adres alanına erişilmesine olanak tanımaktadır. SSRF kör olduğu için (yanıt okunamamaktadır), temel etki yerel ağın port taramasıdır; çünkü bir portun açık olup olmadığı, GET isteğinin başarılı olup olmamasına göre belirlenebilir. Bu yanıt farklılıkları, tüm port aralığında yineleme yapmak ve açık portları belirlemek için otomatikleştirilebilir. Açık bir portta çalışan servis çıkarılabilirse, servisin durum değiştiren GET isteği uç noktaları sunduğu sürece, bir saldırgan onunla anlamlı bir şekilde etkileşime girebilir. Bu sorun yayınlandığı sırada çözülmemişti.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v ≤ 0.7.2 | — |
| open-webuiPyPI | v ≤ 0.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.