CVE-2026-45398
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.5 sürümünden önce, _validate_collection_access() fonksiyonu user-memory-* ve file-* koleksiyon adı öneklerini kontrol etmekte ancak koleksiyon adları olarak ham UUID'ler kullanan bilgi tabanı (knowledge base) koleksiyonlarını kontrol etmemektedir. Özel bir bilgi tabanı UUID'sini bilen herhangi bir kimliği doğrulanmış kullanıcı, bilgi API'si bu kullanıcının erişimini doğru şekilde reddetmesine rağmen, veri getirme sorgu uç noktaları aracılığıyla içeriği okuyabilir. Aynı boşluk, veri getirme yazma uç noktalarını da (/process/text, /process/file, /process/files/batch, /process/web, /process/youtube) etkileyerek bir saldırganın başka bir kullanıcının bilgi tabanına içerik eklemesine veya üzerine yazmasına olanak tanımaktadır. Bu güvenlik açığı 0.9.5 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.5 ya da sonraki bir sürüm
- open-webui0.9.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.5 | 0.9.5 |
| open-webuiPyPI | v < 0.9.5 | 0.9.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.