Podatności Open WebUI

W Open WebUI w wersjach od 0.6.27 do 0.10.0, procedury obsługi get_all_models w plikach routers/openai.py i routers/ollama.py przekazywały lambdę do klucza pamięci podręcznej aiocache zamiast key_builder, co powodowało, że filtrowane według uprawnień listy modeli użytkowników współdzieliły statyczny wpis w pamięci podręcznej. W efekcie, w oknie TTL, jeden użytkownik mógł zobaczyć listę modeli innego użytkownika.

W Open WebUI przed wersją 0.10.0 funkcja _verify_knowledge_file_access sprawdzała tylko uprawnienia do odczytu, podczas gdy trasy zapisu i usuwania plików ufały uprawnieniom pochodzącym z obiektu modelu meta.knowledge. Umożliwiało to użytkownikowi z dostępem tylko do odczytu plików wiedzy uzyskanie możliwości zapisu lub usuwania plików.

Podatność SSRF w Open WebUI przed wersją 0.6.27 w punkcie końcowym /api/v1/retrieval/process/web umożliwia uwierzytelnionym użytkownikom ominięcie zabezpieczeń SSRF. Atakujący mogą manipulować parametrami URL za pomocą nagłówków przekierowania lokalizacji, aby uzyskać dostęp do wewnętrznych usług i potencjalnie wykonać polecenia za pomocą sekretów instancji.

W Open WebUI przed wersją 0.8.11 występuje podatność, która pozwala atakującemu na ominięcie kontroli autoryzacji przy dołączaniu do pokoju dokumentu. Dzięki manipulacji identyfikatorem dokumentu, atakujący może uzyskać dostęp do prywatnych treści notatek ofiary.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.6 wprowadziła kontrole ACL na poziomie kolekcji. Jednakże, w trybie wieloosobowym Milvus, te kontrole mogą być obejście, co prowadzi do potencjalnych zagrożeń związanych z nieautoryzowanym dostępem do zasobów.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.6 miała lukę w funkcji validate_url w SafePlaywrightURLLoader, umożliwiającą ataki SSRF. Walidacja adresu URL była przeprowadzana tylko na początkowym URL, co pozwalało atakującym na ominięcie zabezpieczeń poprzez wykorzystanie przekierowań HTTP.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.6 miała podatność na złamanie autoryzacji na poziomie obiektów (BOLA) w narzędziu search_knowledge_files. Umożliwia to uwierzytelnionemu użytkownikowi dostęp do metadanych plików z prywatnych lub ograniczonych baz wiedzy bez odpowiednich uprawnień.

Open WebUI przed wersją 0.9.6 ma lukę, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnej historii podpowiedzi innych użytkowników. Problemy występują w punktach końcowych związanych z historią wersji podpowiedzi, które nie weryfikują, czy dany wpis historii należy do odpowiedniej podpowiedzi.

W Open WebUI przed wersją 0.9.6 występuje podatność typu path traversal w punkcie końcowym serwowania plików cache, która pozwala uwierzytelnionym użytkownikom na odczyt plików z sąsiednich katalogów poza zamierzonym katalogiem cache.

Open WebUI przed wersją 0.9.6 pozwala użytkownikom na przechowywanie dowolnych wpisów meta.knowledge w modelach bez weryfikacji uprawnień do plików. To umożliwia złośliwym właścicielom modeli dostęp do prywatnych plików innych użytkowników.

Open WebUI przed wersją 0.9.6 renderuje bloki Mermaid z plików Markdown w panelu podglądu plików, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do DOM. Z powodu ustawienia securityLevel: 'loose', złośliwe treści kontrolowane przez atakującego mogą być renderowane w sposób niebezpieczny.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.6 pozwalała uwierzytelnionym użytkownikom dołączać dowolne wartości file_id do swoich wiadomości czatu bez weryfikacji, czy mają do nich prawo. To umożliwia atakującym dostęp do plików ofiar poprzez udostępnienie czatu.

W Open WebUI przed wersją 0.9.6 występuje podatność, która pozwala uwierzytelnionemu użytkownikowi na dostęp do plików innych użytkowników poprzez manipulację parametrem image_url.url w żądaniu POST /api/chat/completions. Jeśli wartość ta nie zaczyna się od http://, https:// lub data:image/, jest interpretowana jako identyfikator pliku, co umożliwia odczytanie zawartości pliku bez sprawdzania uprawnień.

W Open WebUI przed wersją 0.9.6 występuje podatność, która pozwala atakującemu z ważną tożsamością OAuth na przesłanie publicznego URL, który przekierowuje do wewnętrznego adresu. Dzięki temu atakujący może odczytać odpowiedź z wewnętrznego serwera.

W Open WebUI przed wersją 0.9.6 występuje luka, która pozwala użytkownikom z rolą zwykłego na przenoszenie wydarzeń między kalendarzami innych użytkowników bez odpowiednich uprawnień. Luka ta polega na braku walidacji identyfikatora kalendarza docelowego w żądaniu aktualizacji wydarzenia.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 miała podatność w procesach uwierzytelniania LDAP i OAuth. Wykorzystywały one wzorzec TOCTOU, co mogło prowadzić do nieautoryzowanego przypisania roli administratora dla pierwszego użytkownika.

Open WebUI przed wersją 0.6.37 zawiera podatność Stored XSS w funkcji pobierania notatek jako PDF. Atakujący może zaimportować plik Markdown ze złośliwymi tagami SVG do Notatek, co pozwala na wykonanie dowolnego kodu JavaScript i kradzież tokenów sesji, gdy ofiara pobierze notatkę jako PDF.