CVE-2026-45385
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.5 sürümünden önce, Open WebUI'ın Channels özelliğinde, herhangi bir kanal üyesinin aynı kanaldaki diğer üyeler (yöneticiler dahil) tarafından gönderilen mesajları değiştirmesine olanak tanıyan bir IDOR zafiyeti bulunmaktadır. update_message_by_id fonksiyonunda, grup veya dm tipi kanallar için, mesaj sahipliği doğrulanmadan yalnızca çağıran kişinin kanala üyeliği is_user_channel_member fonksiyonu aracılığıyla kontrol edilmektedir. Bu durum, herhangi bir kanal üyesinin aynı kanalda diğer üyeler tarafından gönderilen mesajları değiştirmesine izin verir. Bu zafiyet 0.9.5 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.5 ya da sonraki bir sürüm
- open-webui0.9.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.5 | 0.9.5 |
| open-webuiPyPI | v < 0.9.5 | 0.9.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.