Podatności Open WebUI

W Open WebUI przed wersją 0.8.6 występuje podatność w API do uzupełniania czatu, która pozwala atakującym na obejście ograniczeń narzędzi, co może prowadzić do nieautoryzowanych działań lub dostępu.

W Open WebUI przed wersją 0.9.0 występuje podatność typu Server-Side Request Forgery (SSRF) w funkcji _process_picture_url(), która umożliwia atakującemu wymuszenie na serwerze wykonywania żądań HTTP do wewnętrznych zasobów.

Open WebUI przed wersją 0.9.3 ma podatność, która pozwala na przesyłanie plików audio z rozszerzeniem HTML, co może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników. Użytkownik z odpowiednimi uprawnieniami może oszukać innych, aby otworzyli złośliwy link.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.5 pozwalała na wstrzykiwanie i wykonywanie skryptów poprzez widok renderowania HTML. Zawartość czatu była osadzona w iFrame z ograniczeniami, które w praktyce były niewystarczające.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.3.16 miała brak kontroli uprawnień w plikach związanych z punktami końcowymi API. Umożliwiało to każdemu uwierzytelnionemu użytkownikowi przeglądanie, dostęp i usuwanie wszystkich plików przesłanych przez innych użytkowników.

W Open WebUI przed wersją 0.6.19 występowały niespójności w kontrolach autoryzacji dotyczących API pamięci, co pozwalało standardowym użytkownikom na usuwanie, przywracanie i przeglądanie zawartości pamięci innych użytkowników.

W Open WebUI przed wersją 0.6.19 występuje podatność IDOR w systemie zarządzania wiadomościami kanałów, która pozwala uwierzytelnionym użytkownikom na modyfikację lub usunięcie dowolnej wiadomości w kanałach, do których mają dostęp. Problem wynika z braku walidacji własności wiadomości w punktach końcowych aktualizacji i usuwania wiadomości.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.1.124 nieprawidłowo weryfikowała, czy użytkownik ma autoryzowaną rolę. Domyślnie, przy włączonej opcji rejestracji nowych użytkowników, rola użytkownika jest ustawiana na 'oczekującą', co wymaga interwencji administratora w celu przyznania odpowiedniej roli.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.1.124 nie weryfikowała ani nie sanitizowała nazw plików przesyłanych przez użytkowników. Umożliwia to przesyłanie plików z nazwami zawierającymi segmenty kropkowe, co pozwala na przechodzenie poza zamierzony katalog przesyłania.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.10 nie weryfikowała ani nie oczyszczała nazw plików podczas przesyłania plików audio. Umożliwia to użytkownikom przesyłanie plików z nazwami zawierającymi segmenty kropkowe, co pozwala na przechodzenie poza zamierzony katalog przesyłania.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.0 niebezpiecznie podglądała załączniki plików Excel. Opracowany ładunek XLSX mógł wykorzystać funkcję sheetjs sheet_to_html do osadzenia ładunku XSS w generowanym HTML.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.12 pozwalała na wykonywanie dowolnego kodu Python przez zweryfikowanych użytkowników, mimo że administrator ustawił ENABLE_CODE_EXECUTION=false. Punkt końcowy API nie egzekwował tej konfiguracji, co prowadziło do nieautoryzowanego wykonania kodu.

W wersjach przed 0.9.5 funkcja validate_url() w Open WebUI nie weryfikuje przekierowań HTTP 3xx, co pozwala uwierzytelnionym użytkownikom na dostęp do wewnętrznych adresów IP poprzez publiczne URL-e. Może to prowadzić do nieautoryzowanego odczytu danych z wewnętrznych zasobów.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która działa całkowicie offline. Przed wersją 0.9.5 występowała luka w zabezpieczeniach związana z obejściem SSRF spowodowana różnicą w analizie między bibliotekami urlparse a requests.

W Open WebUI przed wersją 0.9.5 występuje luka, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnych baz wiedzy za pomocą znajomości UUID. Luka ta umożliwia również atakującym wstrzykiwanie lub nadpisywanie zawartości baz wiedzy innych użytkowników.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.5 nie sprawdzała uprawnień do zarządzania narzędziami podczas aktualizacji narzędzi. Umożliwia to użytkownikom, którym odmówiono uprawnień, na zastąpienie zawartości Pythona po stronie serwera narzędzia, co może prowadzić do nieautoryzowanego wykonania kodu.

Open WebUI przed wersją 0.9.0 zawierał podatność typu XSS, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do tworzenia modeli na wykonywanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników, w tym administratorów, którzy oglądali złośliwy model w interfejsie czatu.

W Open WebUI przed wersją 0.9.0, uwierzytelniony użytkownik mógł trwale usunąć pliki należące do innych użytkowników poprzez wywołanie DELETE /api/v1/files/{id}, jeśli plik był powiązany z jakimkolwiek udostępnionym czatem. Mechanizm autoryzacji has_access_to_file() nie sprawdzał tożsamości użytkownika ani typu wykonywanej operacji.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.0 pozwalała uwierzytelnionym użytkownikom o niskich uprawnieniach na enumerację aktywnych zadań w tle oraz zatrzymywanie zadań innych użytkowników. To stanowi poważną lukę w autoryzacji, wpływającą na integralność i użyteczność w środowiskach wieloużytkownikowych.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 pozwalała użytkownikom na kontynuowanie rozmowy innego użytkownika, wykorzystując jego Chat ID oraz własny klucz API.

W wersjach przed 0.9.0 platformy Open WebUI, funkcja validate_url() nieprawidłowo waliduje adresy IPv6, co pozwala na przejście każdego adresu przez filtr. Dodatkowo, adresy IPv4-mapped IPv6 oraz kilka zarezerwowanych zakresów IPv4 nie są blokowane.

W wersjach przed 0.9.0, punkt końcowy /responses w routerze OpenAI akceptuje każdego uwierzytelnionego użytkownika i przekazuje żądania do dostawców LLM bez egzekwowania kontroli dostępu na poziomie modelu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi interakcję z dowolnym modelem skonfigurowanym w instancji.

Open WebUI przed wersją 0.9.0 ma lukę, która pozwala użytkownikom z domyślnymi uprawnieniami do tworzenia modeli na tworzenie modeli łańcuchowych, które odwołują się do zastrzeżonych modeli bazowych. Weryfikacja dostępu do modeli bazowych nie jest przeprowadzana, co umożliwia nieautoryzowany dostęp.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 nie weryfikowała uprawnień użytkownika do modyfikacji kolekcji danych. Endpoint POST /api/v1/retrieval/process/web akceptował parametry, które mogły prowadzić do nieautoryzowanego usunięcia kolekcji danych.

Open WebUI to platforma sztucznej inteligencji działająca offline, która przed wersją 0.9.0 nie aktualizowała puli sesji po zmianach ról administracyjnych i usunięciach użytkowników. Użytkownik, któremu odebrano rolę administratora, nadal posiadał uprawnienia administracyjne w istniejącej sesji Socket.IO, dopóki utrzymywał połączenie.

W wersjach przed 0.9.0 Open WebUI, klucze tool_servers i terminal_servers w utils/tools.py nie używają prefiksu, co prowadzi do kolizji kluczy w przypadku współdzielenia bazy danych Redis przez wiele instancji. To może skutkować nadpisywaniem konfiguracji serwera narzędzi przez inną instancję.

W wersjach przed 0.9.0 platformy Open WebUI, punkt końcowy uwierzytelniania LDAP nie weryfikuje, czy przesłane hasło jest puste przed wykonaniem prostego połączenia z serwerem LDAP. Model Pydantic LdapForm akceptuje hasło jako ciąg znaków bez minimalnych wymagań długości, co pozwala na przesłanie pustego ciągu.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji zaprojektowana do pracy w trybie offline. W wersjach przed 0.6.37 podatność Server-Side Request Forgery (SSRF) pozwala każdemu uwierzytelnionemu użytkownikowi wymusić na serwerze wykonanie żądań HTTP do dowolnych adresów URL, co może być wykorzystane do dostępu do punktów metadanych chmury (AWS/GCP/Azure), skanowania sieci wewnętrznych, dostępu do usług wewnętrznych za zaporami i eksfiltracji poufnych informacji. Podatność została naprawiona w wersji 0.6.37.

W Open WebUI od wersji 0.8.6 przed 0.11.4 występuje luka eskalacji uprawnień w proxy terminala, która pozwala uwierzytelnionym użytkownikom dotrzeć do administracyjnego API Terminals ze wspólnym kluczem. Atakujący może wysyłać żądania przez /api/v1/terminals/{server_id}/{path}, aby wyświetlać lub zatrzymywać terminale innych użytkowników oraz modyfikować polityki terminali, wstrzykując zmienne środowiskowe do terminali innych użytkowników.

Open WebUI w wersjach od 0.6.31 do 0.11.4 (przed 0.11.4) zawiera podatność na przechowywane XSS w rendererze Markdown, który traktuje bloki szczegółów wywołań narzędzi jako wynik narzędzia i montuje ich atrybut embeds w iframe z włączonym skryptem. Uwierzytelnieni użytkownicy mogą publikować spreparowane wiadomości kanałów, czatów lub treści cytowania, które wykonują JavaScript w przeglądarkach odbiorców, umożliwiając phishing w aplikacji lub przejęcie sesji, gdy iframeSandboxAllowSameOrigin jest włączone.

Open WebUI w wersjach od 0.9.0 do 0.11.4 (przed 0.11.4) zawiera podatność na odmowę usługi, która pozwala uwierzytelnionym użytkownikom z uprawnieniami automatyzacji zawiesić instancję poprzez przesyłanie niemożliwych do spełnienia reguł cyklicznych. Atakujący mogą wielokrotnie wysyłać reguły takie jak 30 lutego do endpointów tworzenia lub aktualizacji automatyzacji, blokując wspólną pętlę zdarzeń na sekundy na każde żądanie.

Open WebUI w wersjach od 0.11.0 do 0.11.4 (przed 0.11.4) kompiluje wybrane przez użytkownika wzorce grep dla narzędzi wyszukiwania plików wiedzy i czatu, używając silnika regex, który rozwija zagnieżdżone powtórzenia zliczane bez ograniczeń w czasie kompilacji i cache'uje wynik. Uwierzytelnieni użytkownicy mogą spowodować, że model wywoła grep_knowledge_files z krótkimi wzorcami zagnieżdżonych powtórzeń, blokując pętlę zdarzeń i wyczerpując pamięć pracowników.

Open WebUI 0.11.0 przed 0.11.4 zawiera podatność na odmowę usługi w walidatorze reguł cyklicznych automatyzacji. Użytkownicy mogą tworzyć reguły, które rozszerzają się co sekundę, blokując wspólną pętlę zdarzeń na kilka minut na żądanie i przy każdym odpytywaniu harmonogramu.

Open WebUI przed 0.11.4 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na dostęp do wyłączonych backendów modeli poprzez podanie jawnego indeksu backendu. Atakujący mogą wywoływać żądania z kluczami API, odczytywać wersje i enumerować połączenia.

Open WebUI od 0.11.0 przed 0.11.4 zawiera podatność na odmowę usługi przez wyrażenia regularne, która pozwala uwierzytelnionym użytkownikom na zablokowanie serwerów roboczych poprzez wzorce wyszukiwania plików. Atakujący mogą wywołać funkcje grep_knowledge_files lub grep_chat_files z katastrofalnie cofającym się regexem, blokując pętlę zdarzeń na dwie sekundy na każde powtórzone wywołanie.

Open WebUI od 0.6.42 przed 0.11.4 zawiera podatność niekontrolowanego zużycia zasobów, która pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci serwera poprzez podanie skompresowanych zdalnych adresów URL obrazów w wiadomościach czatu. Atakujący mogą wskazać pole obrazu na host zwracający odpowiedzi gzip, które funkcja get_image_base64_from_url dekompresuje bez ograniczeń, powodując odmowę usługi dla wszystkich użytkowników.

Open WebUI od 0.11.0 przed 0.11.4 zawiera podatność ujawnienia informacji, która pozwala uwierzytelnionym użytkownikom niebędącym administratorami z uprawnieniem eksportu narzędzi na uzyskanie kodu źródłowego narzędzi udostępnionych im tylko do odczytu. Atakujący mogą wysłać żądanie GET /api/v1/tools/export, aby pobrać pełny kod źródłowy narzędzi tylko do odczytu, ujawniając osadzone klucze API i poświadczenia.

Open WebUI od 0.6.27 przed 0.11.4 zawiera podatność ujawnienia informacji, która pozwala serwerom docelowym na uzyskanie ciasteczek sesji użytkownika poprzez otrzymywanie pełnego zestawu ciasteczek przeglądarki podczas połączeń w trybie OAuth. Operatorzy połączeń zgodnych z OpenAI, serwerów narzędzi OpenAPI lub serwerów terminalowych mogą przechwycić przekazywane ciasteczka sesji i odtworzyć je w celu przejęcia kont, w tym administratorów.

Open WebUI w wersjach od 0.6.33 do 0.11.4 zawiera podatność na cross-site scripting (XSS), która pozwala zautentykowanym użytkownikom na wykonanie skryptu w sesjach ofiar poprzez przechowywanie adresów URL javascript: w polach embed_url cytatów. Atakujący mogą udostępnić spreparowany czat, którego cytat po kliknięciu jest przekazywany do window.open, co pozwala ukraść localStorage.token i działać jako ofiara.

Open WebUI w wersjach od 0.11.1 do 0.11.4 zawiera podatność na przechowywane cross-site scripting (XSS) w DocxPreview.svelte, która pozwala zautentykowanym użytkownikom na wykonanie skryptu poprzez przesłanie spreparowanych załączników DOCX. Atakujący mogą osadzić część HTML OOXML altChunk lub hiperłącze ze schematem script, aby ukraść token sesji administratora podglądającego dokument z local storage i przejąć instancję.

Open WebUI od 0.8.8 przed 0.11.4 zawiera podatność nieprawidłowej autoryzacji, która pozwala dezaktywowanym użytkownikom na dalsze wykonywanie poleceń terminala przez już otwarty WebSocket terminala. Ponieważ trasa proxy terminala w terminals.py sprawdza dostęp tylko przy pierwszej wiadomości, dezaktywowani użytkownicy mogą nadal uruchamiać polecenia oraz czytać i zapisywać pliki na serwerze terminala.

Open WebUI przed 0.11.4 zawiera podatność przechowywanego cross-site scripting w MarkdownInlineTokens.svelte, który renderuje adresy URL linków markdown do atrybutów href kotwic bez walidacji ich schematu. Uwierzytelnieni użytkownicy mogą osadzić linki javascript: w udostępnionych czatach, które po kliknięciu przez ofiarę kradną JWT ofiary z lokalnego magazynu, w tym tokeny administratorów.

Open WebUI od 0.9.6 przed 0.11.4 zawiera wadę autoryzacji, gdzie lista plików bazy wiedzy nie weryfikuje, czy podany directory_id należy do żądanej bazy wiedzy. Użytkownicy z dostępem do odczytu dowolnej bazy wiedzy mogą podać zachowany obcy UUID katalogu do GET /api/v1/knowledge/{id}/files. Zwrócone breadcrumbs ujawniają nazwy folderów, identyfikatory właścicieli i identyfikatory baz wiedzy tego katalogu i wszystkich jego przodków.

Open WebUI w wersjach od 0.7.0 do 0.11.4 zawiera podatność na przechwytywanie komunikatów między domenami w komponencie SyncStatsModal, która pozwala dowolnej stronie internetowej ukraść token sesji zalogowanego użytkownika poprzez wysyłanie niezweryfikowanych komunikatów verify:chat. Atakujący może użyć ścieżki traversal w identyfikatorze czatu, aby przekierować uwierzytelnione żądanie eksportu statystyk do punktu końcowego auths i otrzymać JWT ofiary, uzyskując pełny dostęp do API.

Open WebUI od 0.6.0 przed 0.11.4 zawiera podatność nieprawidłowej kontroli dostępu w has_access_to_file, która pozwala byłym współpracownikom bazy wiedzy na zachowanie dostępu do plików poprzez nieaktualne buforowane odwołania do bazy wiedzy. Atakujący z uprawnieniami odczytu lub zapisu mogą pobierać usunięte pliki przez punkt końcowy zawartości pliku lub je usuwać, w tym z prywatnych baz wiedzy właściciela.

Open WebUI w wersjach od 0.11.0 do 0.11.4 zawiera błąd nieprawidłowej autoryzacji w obsłudze forkowania czatów. Forkowane czaty trafiają do folderu czatu źródłowego bez sprawdzenia uprawnień zapisu do folderu. Użytkownicy zdegradowani do trybu tylko do odczytu mogą wywołać POST /api/v1/chats/{id}/fork na czatach, które utworzyli wcześniej, i wstawiać własne czaty widoczne dla właściciela folderu i jego członków.

Open WebUI w wersjach od 0.11.1 do 0.11.4 zawiera obejście autoryzacji w punkcie wymiany tokenów OAuth. Endpoint odczytuje role wyłącznie z odpowiedzi userinfo dostawcy i zachowuje dotychczasową rolę użytkownika, gdy brak jest roszczenia o rolach, ignorując role przekazane tylko w tokenie ID. Użytkownik z powiązanym kontem, którego rola u dostawcy nie spełnia już polityki OAuth, może wysłać ważny token dostępu do POST /api/v1/auths/oauth/{provider}/token/exchange i uzyskać sesję z poprzednią rolą.

Open WebUI od wersji 0.8.0 do 0.11.1 — endpoint wymiany tokenu OAuth wystawia sesję dla tokenu dostępu dostawcy bez uruchamiania zarządzania rolami OAuth, które wykonuje normalny callback logowania OAuth. Użytkownik, którego role u dostawcy callback logowania by odrzucił lub zdegradował, może mimo to uzyskać działającą sesję z dotychczasową rolą przez ten endpoint. Problem naprawiono w wersji 0.11.1.

Open WebUI od wersji 0.8.0 do 0.9.0 — endpoint wymiany tokenu OAuth wystawia sesję dla tokenu dostępu dostawcy bez stosowania allowlisty domen e-mail, którą wymusza normalny callback logowania OAuth. Konto, którego domena e-mail zostałaby odrzucona przez callback logowania, może mimo to uzyskać działającą sesję przez ten endpoint. Problem naprawiono w wersji 0.9.0.

Open WebUI w wersjach od 0.5.0 do 0.11.1 zawiera podatność na nieskończoną pętlę w funkcji pomocniczej rekonstrukcji łańcucha wiadomości w backend/open_webui/utils/misc.py. Uwierzytelniony użytkownik może przechowywać wiadomości bez identyfikatora w cyklicznej strukturze, co blokuje pętlę zdarzeń i powoduje wzrost pamięci aż do zatrzymania procesu. Problem naprawiono w wersji 0.11.1.