CVE-2026-54015
Açıklama
Open WebUI, tamamen çevrimdışı çalışacak şekilde tasarlanmış, kendi sunucunuzda barındırabileceğiniz bir yapay zeka platformudur. 0.9.6 sürümünden önce, Open WebUI'ın istem (prompt) versiyon geçmişi uç noktaları, URL'deki prompt_id değerini yetkilendiriyor ancak ardından geçmiş satırının söz konusu isteme ait olduğunu (history_entry.prompt_id == prompt.id) doğrulamadan çağrıcı tarafından sağlanan geçmiş kimlikleri üzerinden işlem yapıyor. Bu durum /api/v1/prompts/id/{prompt_id}/history/diff, /api/v1/prompts/id/{prompt_id}/update/version ve /api/v1/prompts/id/{prompt_id}/history/{history_id} uç noktalarını etkilemektedir. Kontrol ettikleri herhangi bir isteme erişimi olan ve kurbanın prompt_history.id bilgisine sahip olan kimliği doğrulanmış bir kullanıcı, başka bir kullanıcının özel istem geçmişini okuyabilir veya silebilir. Bu güvenlik açığı 0.9.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- openwebui open_webui0.9.6 ya da sonraki bir sürüm
- open-webui0.9.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openwebui open_webui | v < 0.9.6 | 0.9.6 |
| open-webuiPyPI | v < 0.9.6 | 0.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.