Katalog podatności CVE

Open WebUI w wersjach od 0.9.6 do 0.11.0 ma podatność na atak DoS w ścieżce wyszukiwania wiedzy. Wzorce zawierające metaznaki regex są kompilowane z silnikiem re z backtrackingiem i uruchamiane bez limitu czasu, co pozwala na zablokowanie rdzenia CPU i zatrzymanie pętli zdarzeń. Problem został naprawiony w wersji 0.11.0.

W Open WebUI w wersji 0.10.2 i wcześniejszych, endpointy GET /api/v1/tools/, GET /api/v1/tools/list oraz GET /api/v1/tools/id/{id} zwracały pełny kod źródłowy narzędzi Python uwierzytelnionym użytkownikom niebędącym administratorami z uprawnieniami tylko do odczytu. Pole ToolResponse celowo pomijało źródło i specyfikacje, ale ToolUserResponse zezwalało na dodatkowe pola, a handlery rozprzestrzeniały pełny model narzędzia w odpowiedzi, ponownie ujawniając pominięte pola.

Open WebUI od wersji 0.8.8 do 0.11.0 ma podatność w terminalowej trasie WebSocket (backend/open_webui/routers/terminals.py), która uwierzytelnia własny JWT pierwszej wiadomości i nie stosuje bramki roli użytkownika (get_verified_user) jak w trasach HTTP. Konto z rolą 'pending' (w tym zarejestrowane ale niezatwierdzone lub dezaktywowane z powrotem do 'pending') może otworzyć interaktywną sesję terminala, jeśli skonfigurowano co najmniej jeden serwer terminala i jego uprawnienia obejmują to konto. Poprawka w wersji 0.11.0.

Open WebUI to rozszerzalna, bogata w funkcje i przyjazna dla użytkownika samodzielnie hostowana platforma AI. Od wersji 0.9.0 do 0.11.0 parsowanie powtarzalności automatyzacji w backend/open_webui/utils/automations.py zakotwiczało reguły minutowe i godzinowe na stałej dacie 2000-01-01, a następnie przechodziło do przodu o jeden interwał, aby znaleźć następne uruchomienie. Pojedyncza reguła FREQ=MINUTELY wylicza synchronicznie około ćwierć wieku wystąpień w pętli zdarzeń, która obsługuje również ruch schedulera, HTTP i WebSocket, a scheduler przelicza następne uruchomienie dla każdego zgłoszonego wiersza przy każdym odpytywaniu. Powoduje to wpływ na dostępność dla każdego innego użytkownika instancji. Problem został naprawiony w wersji 0.11.0.

Open WebUI od wersji 0.9.6 do 0.11.0 ma podatność w endpointzie synchronizacji czyszczenia, który autoryzuje zapis do bazy wiedzy w URL, ale działa na identyfikatorach katalogów i plików podanych w ciele żądania bez sprawdzania, czy należą do tej bazy wiedzy. Użytkownik z prawem zapisu do jednej bazy wiedzy może usuwać katalogi i usunąć embeddingi plików z innej bazy wiedzy, co powoduje wypadanie dokumentów z wyników wyszukiwania i psucie czatu z plikami. Poprawka w wersji 0.11.0.

Open WebUI w wersjach od 0.8.8 do przed 0.11.0 akceptuje załączniki wiedzy dostarczane przez klienta bez filtrowania ich pod kątem praw dostępu do odczytu. Uwierzytelniony użytkownik, znając identyfikator pliku innego użytkownika, może uzyskać dostęp do indeksowanych fragmentów tego pliku, co prowadzi do utraty poufności między użytkownikami. Wersja 0.11.0 naprawia problem.

Open WebUI przed wersją 0.11.0 ma podatność polegającą na tym, że podczas walidacji URL rozwiązywano nazwę hosta i odrzucano adresy prywatne, pętlowe i link-local, ale klienci HTTP ponownie rozwiązywali nazwę hosta w momencie połączenia. Uwierzytelniony atakujący kontrolujący autorytatywny DNS dla zgłoszonej nazwy hosta może odpowiedzieć publicznym adresem podczas walidacji i wewnętrznym podczas połączenia, docierając do metadanych chmury, pętlowych API administracyjnych lub usług wewnętrznych przez URL ingest, pobieranie obrazów czatu, edycję obrazów lub pobieranie zdjęć profilowych OAuth, przy czym większość ścieżek zwraca odpowiedź atakującemu, a ścieżka OAuth przekazuje token dostępu OAuth. Poprawka w wersji 0.11.0.

Podatność w Open WebUI od wersji 0.7.0 do 0.11.0 pozwala uwierzytelnionemu użytkownikowi, któremu odebrano uprawnienie do generowania obrazów, nadal korzystać z tej funkcji przez starsze endpointy czatu. Pomimo blokady flagi image_generation, system nie weryfikował ponownie uprawnień, co umożliwiało nieautoryzowane użycie skonfigurowanego dostawcy obrazów.

Open WebUI to rozszerzalna, bogata w funkcje i przyjazna dla użytkownika samodzielnie hostowana platforma AI. Od wersji 0.5.0 do 0.11.0 standardowe procedury obsługi aktualizacji i usuwania wiadomości na kanale akceptowały każdego wywołującego z prawem zapisu na kanale, bez sprawdzania, czy wywołujący napisał wiadomość. Ponieważ prawo zapisu jest tym samym uprawnieniem, które członek potrzebuje do publikowania, każdy zwykły uczestnik współdzielonego standardowego kanału mógł przepisać lub trwale usunąć wiadomość innego uczestnika, podczas gdy procedury obsługi wiadomości grupowych i bezpośrednich egzekwowały autorstwo. Problem został naprawiony w wersji 0.11.0.

Open WebUI od wersji 0.6.34 do 0.11.0 renderuje bloki kodu vega i vega-lite w treści czatu, budując widok Vega w przeglądarce bez ograniczonego modułu ładującego zasoby. Użytkownik, który umieści taki blok, może sprawić, że przeglądarka innego użytkownika wyśle żądania GET wybrane przez atakującego i odczyta odpowiedzi z celów samego pochodzenia lub dozwolonych przez CORS.

Flowise przed wersją 3.1.3 zawiera podatność w endpointcie PUT /api/v1/executions/:id, który nie posiada middleware checkAnyPermission() chroniącego inne endpointy wykonawcze. Każdy uwierzytelniony użytkownik, niezależnie od przypisanych uprawnień, może modyfikować stan, dane i metadane dowolnego wykonania w swoim workspace, co umożliwia eskalację uprawnień i manipulację wynikami przepływów pracy.

GoRest to zestaw startowy w języku Golang oparty na frameworku Gin. W wersjach przed 1.12.2 komponent nMemorySecret2FA zawiera wyścig (race condition) spowodowany niesynchronizowaną mapą na poziomie pakietu używaną do przechowywania sekretów 2FA. Wielu obsługujących żądania HTTP jednocześnie czyta i zapisuje do tej mapy, a ponieważ Go traktuje niesynchronizowany dostęp do mapy jako nieodwracalny błąd krytyczny, atakujący może wielokrotnie wywołać ten warunek, aby celowo doprowadzić do awarii procesu.

W wielu mikrousługach Lenovo XClarity Orchestrator (LXCO) 2.2.0 występuje podatność nieprawidłowej walidacji certyfikatów, która może pozwolić atakującemu w sąsiedniej sieci na przechwycenie wrażliwych komunikacji poprzez atak typu man-in-the-middle na połączenia HTTPS podczas walidacji certyfikatów TLS w określonych okolicznościach.

Flowise przed wersją 3.1.3 wstrzykuje $vars do piaskownicy wykonywania kodu bez wymagania uprawnienia variables:view, omijając chroniony API zmiennych. Użytkownik lub klucz API bez uprawnień variables:view może wywołać /api/v1/node-custom-function i otrzymać wszystkie zmienne obszaru roboczego, w tym sekrety.

Atals-Livre zawiera podatność na wstrzykiwanie SQL, która pozwala atakującym manipulować zapytaniami do bazy danych poprzez przekazanie niesanityzowanych danych wejściowych przez parametr GET do funkcji pomocniczej supp() służącej do usuwania. Atakujący mogą wstrzyknąć złośliwą składnię SQL przez podatny parametr GET, aby wykonać nieautoryzowane operacje na bazie danych, w tym usuwanie i wyodrębnianie danych.

SnailJob 1.7.0 zawiera podatność na denial of service w funkcji FuryUtil.deserialize, która pozwala uwierzytelnionym atakującym na doprowadzenie do awarii serwera poprzez dostarczenie spreparowanego skompresowanego payloadu Zstandard z zawyżonym polem frame_content_size. Powoduje to nieograniczoną alokację tablicy i błąd OutOfMemoryError.

W SSSD znaleziono błąd. Funkcja extract_authtok_v1() w responderze PAM nie sprawdza pola auth_token_length względem pozostałego rozmiaru bufora przed przetworzeniem. Lokalny atakujący może wykorzystać to poprzez spreparowane żądanie protokołu v1 do gniazda respondera PAM, powodując odczyt poza zakresem i awarię procesu, co prowadzi do odmowy usługi.

SNOMED International Snowstorm zawiera odzwierciedloną podatność XSS w funkcji przekierowania 'Web Route'. Atakujący może wstrzyknąć dowolny JavaScript, który wykona się, gdy użytkownik kliknie spreparowany złośliwy link. Poprawka w wersjach 10.12.2 i 10.9.3.

pdm, menedżer pakietów i zależności dla Pythona, przed wersją 2.27.0 zapisuje kilka plików stanu lub konfiguracji lokalnych projektu bez ochrony przed dowiązaniami symbolicznymi. Złośliwe repozytorium może umieścić te pliki jako dowiązania symboliczne, a lokalne operacje PDM mogą nadpisać cele dowiązań, co umożliwia dowolne nadpisywanie plików z uprawnieniami wywołującego użytkownika.

NVIDIA Dynamo dla systemu Linux zawiera podatność, w której atakujący może spowodować generowanie komunikatów o błędach zawierających wrażliwe informacje. Udane wykorzystanie tej podatności może prowadzić do ujawnienia informacji.