CVE-2026-54009
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.6 sürümünden önce, POST /api/chat/completions uç noktası, http://, https:// veya data:image/ ile başlamayan bir image_url.url değerini kabul etmekte; bu değer bir dosya kimliği olarak yorumlanmakta ve herhangi bir sahiplik kontrolü yapılmaksızın genel dosya tablosunda çözümlenmektedir. Bu nedenle, kimliği doğrulanmış bir kullanıcı, image_url.url değerini başka bir kullanıcının dosya kimliğiyle ayarlayabilir; sunucu söz konusu dosyayı diskten okur, base64 formatında kodlar ve veri URI'sini LLM isteğine ekler. Kullanıcı daha sonra LLM'den dosyayı tanımlamasını veya OCR işlemini gerçekleştirmesini isteyerek içeriği geri okuyabilir. Bu güvenlik açığı 0.9.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.6 ya da sonraki bir sürüm
- open-webui0.9.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.