CVE-2026-54007
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.6 sürümünden önce, sohbet mesajı dinleyicisi aynı kökenli olmayan (non-same-origin) input:prompt ve action:submit mesajlarına izin vermektedir; bu durum, harici bir sitenin istem metnini ayarlamasına ve kimliği doğrulanmış bir kurban oturumunda submitPrompt() fonksiyonunu tetiklemesine olanak tanır. Bu durum, otomatik olarak mesaj gönderen ve saldırgan tarafından kontrol edilen istemler içeren yetkisiz POST /api/v1/chats/new ve POST /api/chat/completions isteklerine neden olan çapraz kökenli bir saldırgan sayfası ile doğrulanmıştır. Bu açık, rıza olmaksızın kurban ayrıcalıkları altında siteler arası zorlanmış eylemlere ve model/araç yürütülmesine imkan sağlar. Bu güvenlik açığı 0.9.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.6 ya da sonraki bir sürüm
- open-webui0.9.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.