CVE-2026-44561
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.0 sürümünden önce, is_user_channel_member fonksiyonu bir ChannelMember satırının mevcut olup olmadığını kontrol etmekte ancak is_active alanını kontrol etmemektedir. Bir kullanıcı bir grup veya DM kanalından devre dışı bırakıldığında (kanal sahibi tarafından kaldırıldığında veya gönüllü olarak ayrıldığında), üyelik satırı is_active=False ve status='left' şeklinde kalmaya devam eder. Yetkilendirme kontrolü bu alanı göz ardı ettiği için, devre dışı bırakılan kullanıcı doğrudan API çağrıları aracılığıyla kanala tam okuma ve yazma erişimini korur. Bu güvenlik açığı 0.9.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.0 ya da sonraki bir sürüm
- open-webui0.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.0 | 0.9.0 |
| open-webuiPyPI | v < 0.9.0 | 0.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.