CVE-2026-54013
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.6 sürümünden önce Open WebUI, kullanıcı profil resimlerindeki ve webhook profil resimlerindeki SVG XSS açıklarını yamalamış ancak aynı düzeltmeyi model profil resimlerine uygulamayı unutmuştur. ModelMeta sınıfında validate_profile_image_url alan doğrulayıcısı bulunmamaktadır ve model resmi sunum uç noktası herhangi bir MIME izin listesine veya nosniff başlığına sahip değildir. workspace.models iznine (varsayılan olarak etkin) sahip kimliği doğrulanmış herhangi bir kullanıcı, bir modelin profil resmine data:image/svg+xml;base64,... yükü yerleştirebilir ve bu resmin URL'sine giden herhangi bir kullanıcının hesabını tamamen ele geçirebilir. Bu güvenlik açığı 0.9.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.6 ya da sonraki bir sürüm
- open-webui0.9.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.