CVE-2026-54012
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.6 sürümünden önce Open WebUI; çalışma alanı modellerini oluşturabilen, güncelleyebilen veya içe aktarabilen bir kullanıcının, referans verilen dosyaların sahibi olup olmadığını veya bu dosyaları okuyup okuyamadığını kontrol etmeden, modellerine rastgele meta.knowledge girişleri kaydetmesine izin vermektedir. Open WebUI daha sonra dosya tipindeki meta.knowledge girişlerini iki noktada yetkilendirme kaynağı olarak değerlendirir: yerleşik view_file aracı dosyanın çıkarılmış metnini okur ve has_access_to_file() fonksiyonunun model dalı, dosya içeriği ve dosya silme uç noktalarını yetkilendirir. Bu nedenle, kötü niyetli bir model sahibi, başka bir kullanıcının dosya kimliğini kendi model meta verilerine ekleyerek söz konusu özel dosyayı okuyabilir veya silebilir. Bu güvenlik açığı 0.9.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.6 ya da sonraki bir sürüm
- open-webui0.9.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.