Podatności Open WebUI

W Open WebUI przed wersją 0.8.6 występuje podatność w API do uzupełniania czatu, która pozwala atakującym na obejście ograniczeń narzędzi, co może prowadzić do nieautoryzowanych działań lub dostępu.

W Open WebUI przed wersją 0.9.0 występuje podatność typu Server-Side Request Forgery (SSRF) w funkcji _process_picture_url(), która umożliwia atakującemu wymuszenie na serwerze wykonywania żądań HTTP do wewnętrznych zasobów.

Open WebUI przed wersją 0.9.3 ma podatność, która pozwala na przesyłanie plików audio z rozszerzeniem HTML, co może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników. Użytkownik z odpowiednimi uprawnieniami może oszukać innych, aby otworzyli złośliwy link.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.5 pozwalała na wstrzykiwanie i wykonywanie skryptów poprzez widok renderowania HTML. Zawartość czatu była osadzona w iFrame z ograniczeniami, które w praktyce były niewystarczające.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.3.16 miała brak kontroli uprawnień w plikach związanych z punktami końcowymi API. Umożliwiało to każdemu uwierzytelnionemu użytkownikowi przeglądanie, dostęp i usuwanie wszystkich plików przesłanych przez innych użytkowników.

W Open WebUI przed wersją 0.6.19 występowały niespójności w kontrolach autoryzacji dotyczących API pamięci, co pozwalało standardowym użytkownikom na usuwanie, przywracanie i przeglądanie zawartości pamięci innych użytkowników.

W Open WebUI przed wersją 0.6.19 występuje podatność IDOR w systemie zarządzania wiadomościami kanałów, która pozwala uwierzytelnionym użytkownikom na modyfikację lub usunięcie dowolnej wiadomości w kanałach, do których mają dostęp. Problem wynika z braku walidacji własności wiadomości w punktach końcowych aktualizacji i usuwania wiadomości.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.1.124 nieprawidłowo weryfikowała, czy użytkownik ma autoryzowaną rolę. Domyślnie, przy włączonej opcji rejestracji nowych użytkowników, rola użytkownika jest ustawiana na 'oczekującą', co wymaga interwencji administratora w celu przyznania odpowiedniej roli.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.1.124 nie weryfikowała ani nie sanitizowała nazw plików przesyłanych przez użytkowników. Umożliwia to przesyłanie plików z nazwami zawierającymi segmenty kropkowe, co pozwala na przechodzenie poza zamierzony katalog przesyłania.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.10 nie weryfikowała ani nie oczyszczała nazw plików podczas przesyłania plików audio. Umożliwia to użytkownikom przesyłanie plików z nazwami zawierającymi segmenty kropkowe, co pozwala na przechodzenie poza zamierzony katalog przesyłania.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.0 niebezpiecznie podglądała załączniki plików Excel. Opracowany ładunek XLSX mógł wykorzystać funkcję sheetjs sheet_to_html do osadzenia ładunku XSS w generowanym HTML.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.12 pozwalała na wykonywanie dowolnego kodu Python przez zweryfikowanych użytkowników, mimo że administrator ustawił ENABLE_CODE_EXECUTION=false. Punkt końcowy API nie egzekwował tej konfiguracji, co prowadziło do nieautoryzowanego wykonania kodu.

W wersjach przed 0.9.5 funkcja validate_url() w Open WebUI nie weryfikuje przekierowań HTTP 3xx, co pozwala uwierzytelnionym użytkownikom na dostęp do wewnętrznych adresów IP poprzez publiczne URL-e. Może to prowadzić do nieautoryzowanego odczytu danych z wewnętrznych zasobów.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która działa całkowicie offline. Przed wersją 0.9.5 występowała luka w zabezpieczeniach związana z obejściem SSRF spowodowana różnicą w analizie między bibliotekami urlparse a requests.

W Open WebUI przed wersją 0.9.5 występuje luka, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnych baz wiedzy za pomocą znajomości UUID. Luka ta umożliwia również atakującym wstrzykiwanie lub nadpisywanie zawartości baz wiedzy innych użytkowników.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.5 nie sprawdzała uprawnień do zarządzania narzędziami podczas aktualizacji narzędzi. Umożliwia to użytkownikom, którym odmówiono uprawnień, na zastąpienie zawartości Pythona po stronie serwera narzędzia, co może prowadzić do nieautoryzowanego wykonania kodu.

Open WebUI przed wersją 0.9.0 zawierał podatność typu XSS, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do tworzenia modeli na wykonywanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników, w tym administratorów, którzy oglądali złośliwy model w interfejsie czatu.

W Open WebUI przed wersją 0.9.0, uwierzytelniony użytkownik mógł trwale usunąć pliki należące do innych użytkowników poprzez wywołanie DELETE /api/v1/files/{id}, jeśli plik był powiązany z jakimkolwiek udostępnionym czatem. Mechanizm autoryzacji has_access_to_file() nie sprawdzał tożsamości użytkownika ani typu wykonywanej operacji.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.0 pozwalała uwierzytelnionym użytkownikom o niskich uprawnieniach na enumerację aktywnych zadań w tle oraz zatrzymywanie zadań innych użytkowników. To stanowi poważną lukę w autoryzacji, wpływającą na integralność i użyteczność w środowiskach wieloużytkownikowych.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 pozwalała użytkownikom na kontynuowanie rozmowy innego użytkownika, wykorzystując jego Chat ID oraz własny klucz API.

W wersjach przed 0.9.0 platformy Open WebUI, funkcja validate_url() nieprawidłowo waliduje adresy IPv6, co pozwala na przejście każdego adresu przez filtr. Dodatkowo, adresy IPv4-mapped IPv6 oraz kilka zarezerwowanych zakresów IPv4 nie są blokowane.

W wersjach przed 0.9.0, punkt końcowy /responses w routerze OpenAI akceptuje każdego uwierzytelnionego użytkownika i przekazuje żądania do dostawców LLM bez egzekwowania kontroli dostępu na poziomie modelu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi interakcję z dowolnym modelem skonfigurowanym w instancji.

Open WebUI przed wersją 0.9.0 ma lukę, która pozwala użytkownikom z domyślnymi uprawnieniami do tworzenia modeli na tworzenie modeli łańcuchowych, które odwołują się do zastrzeżonych modeli bazowych. Weryfikacja dostępu do modeli bazowych nie jest przeprowadzana, co umożliwia nieautoryzowany dostęp.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 nie weryfikowała uprawnień użytkownika do modyfikacji kolekcji danych. Endpoint POST /api/v1/retrieval/process/web akceptował parametry, które mogły prowadzić do nieautoryzowanego usunięcia kolekcji danych.

Open WebUI to platforma sztucznej inteligencji działająca offline, która przed wersją 0.9.0 nie aktualizowała puli sesji po zmianach ról administracyjnych i usunięciach użytkowników. Użytkownik, któremu odebrano rolę administratora, nadal posiadał uprawnienia administracyjne w istniejącej sesji Socket.IO, dopóki utrzymywał połączenie.

W wersjach przed 0.9.0 Open WebUI, klucze tool_servers i terminal_servers w utils/tools.py nie używają prefiksu, co prowadzi do kolizji kluczy w przypadku współdzielenia bazy danych Redis przez wiele instancji. To może skutkować nadpisywaniem konfiguracji serwera narzędzi przez inną instancję.

Podatność polegająca na wstrzyknięciu komend w funkcji load_tool_module_by_id w Open WebUI umożliwia zdalnemu atakującemu wykonanie dowolnego kodu. Wymagane jest uwierzytelnienie. Problem wynika z braku odpowiedniej walidacji ciągu znaków przed użyciem go do wykonania kodu Python.

Podatność polegająca na wstrzyknięciu komend w funkcji install_frontmatter_requirements w Open WebUI umożliwia zdalnemu atakującemu wykonanie dowolnego kodu. Wymagane jest uwierzytelnienie. Problem wynika z braku odpowiedniej walidacji ciągu znaków przed użyciem go do wykonania wywołania systemowego.

W wersjach przed 0.9.0 platformy Open WebUI, punkt końcowy uwierzytelniania LDAP nie weryfikuje, czy przesłane hasło jest puste przed wykonaniem prostego połączenia z serwerem LDAP. Model Pydantic LdapForm akceptuje hasło jako ciąg znaków bez minimalnych wymagań długości, co pozwala na przesłanie pustego ciągu.

Open WebUI w wersjach od 0.9.5 do 0.10.0 umożliwia każdemu uwierzytelnionemu użytkownikowi nadpisanie treści wiadomości w kanale, do którego nie należy (w tym kanały prywatne i DM), poprzez wysłanie żądania z prefiksem channel: w chat_id i docelowym message_id. Problem został naprawiony w wersji 0.10.0.

W Open WebUI w wersjach od 0.10.0 do 0.11.0, procedura DELETE /api/v1/folders/{id} w backend/open_webui/routers/folders.py pozwalała użytkownikowi z prawem zapisu do współdzielonego folderu czatu na trwałe usunięcie czatów i wiadomości należących do właściciela folderu. Kontrola autoryzacji nie wymagała własności ani uprawnień administratora, a kaskada usuwania była powiązana z ID właściciela. Współpracownik może zniszczyć poddrzewo właściciela lub wymusić przeniesienie czatów.

Open WebUI w wersjach od 0.9.6 do 0.11.0 ma podatność na atak DoS w ścieżce wyszukiwania wiedzy. Wzorce zawierające metaznaki regex są kompilowane z silnikiem re z backtrackingiem i uruchamiane bez limitu czasu, co pozwala na zablokowanie rdzenia CPU i zatrzymanie pętli zdarzeń. Problem został naprawiony w wersji 0.11.0.

W Open WebUI w wersjach od 0.10.0 do 0.11.0, komponent KatexRenderer.svelte mógł przechowywać i renderować wiadomość czatu, której blok matematyczny powoduje przepełnienie stosu w KaTeX zamiast błędu parsowania. W wyniku błędu, oryginalny kod matematyczny był wstawiany do strony jako HTML przez {@html}, co pozwala na wykonanie skryptu w przeglądarce każdego, kto widzi wiadomość, w tym współdzielone czaty i kanały. Można ukraść token sesji widza, a administrator może stracić konto.

W Open WebUI w wersji 0.10.2 i wcześniejszych, endpointy GET /api/v1/tools/, GET /api/v1/tools/list oraz GET /api/v1/tools/id/{id} zwracały pełny kod źródłowy narzędzi Python uwierzytelnionym użytkownikom niebędącym administratorami z uprawnieniami tylko do odczytu. Pole ToolResponse celowo pomijało źródło i specyfikacje, ale ToolUserResponse zezwalało na dodatkowe pola, a handlery rozprzestrzeniały pełny model narzędzia w odpowiedzi, ponownie ujawniając pominięte pola.

Open WebUI od wersji 0.8.8 do 0.11.0 ma podatność w terminalowej trasie WebSocket (backend/open_webui/routers/terminals.py), która uwierzytelnia własny JWT pierwszej wiadomości i nie stosuje bramki roli użytkownika (get_verified_user) jak w trasach HTTP. Konto z rolą 'pending' (w tym zarejestrowane ale niezatwierdzone lub dezaktywowane z powrotem do 'pending') może otworzyć interaktywną sesję terminala, jeśli skonfigurowano co najmniej jeden serwer terminala i jego uprawnienia obejmują to konto. Poprawka w wersji 0.11.0.

Open WebUI to rozszerzalna, bogata w funkcje i przyjazna dla użytkownika samodzielnie hostowana platforma AI. Od wersji 0.9.0 do 0.11.0 parsowanie powtarzalności automatyzacji w backend/open_webui/utils/automations.py zakotwiczało reguły minutowe i godzinowe na stałej dacie 2000-01-01, a następnie przechodziło do przodu o jeden interwał, aby znaleźć następne uruchomienie. Pojedyncza reguła FREQ=MINUTELY wylicza synchronicznie około ćwierć wieku wystąpień w pętli zdarzeń, która obsługuje również ruch schedulera, HTTP i WebSocket, a scheduler przelicza następne uruchomienie dla każdego zgłoszonego wiersza przy każdym odpytywaniu. Powoduje to wpływ na dostępność dla każdego innego użytkownika instancji. Problem został naprawiony w wersji 0.11.0.

Open WebUI od wersji 0.9.6 do 0.11.0 ma podatność w endpointzie synchronizacji czyszczenia, który autoryzuje zapis do bazy wiedzy w URL, ale działa na identyfikatorach katalogów i plików podanych w ciele żądania bez sprawdzania, czy należą do tej bazy wiedzy. Użytkownik z prawem zapisu do jednej bazy wiedzy może usuwać katalogi i usunąć embeddingi plików z innej bazy wiedzy, co powoduje wypadanie dokumentów z wyników wyszukiwania i psucie czatu z plikami. Poprawka w wersji 0.11.0.

Open WebUI w wersjach od 0.8.8 do przed 0.11.0 akceptuje załączniki wiedzy dostarczane przez klienta bez filtrowania ich pod kątem praw dostępu do odczytu. Uwierzytelniony użytkownik, znając identyfikator pliku innego użytkownika, może uzyskać dostęp do indeksowanych fragmentów tego pliku, co prowadzi do utraty poufności między użytkownikami. Wersja 0.11.0 naprawia problem.

Open WebUI przed wersją 0.11.0 ma podatność polegającą na tym, że podczas walidacji URL rozwiązywano nazwę hosta i odrzucano adresy prywatne, pętlowe i link-local, ale klienci HTTP ponownie rozwiązywali nazwę hosta w momencie połączenia. Uwierzytelniony atakujący kontrolujący autorytatywny DNS dla zgłoszonej nazwy hosta może odpowiedzieć publicznym adresem podczas walidacji i wewnętrznym podczas połączenia, docierając do metadanych chmury, pętlowych API administracyjnych lub usług wewnętrznych przez URL ingest, pobieranie obrazów czatu, edycję obrazów lub pobieranie zdjęć profilowych OAuth, przy czym większość ścieżek zwraca odpowiedź atakującemu, a ścieżka OAuth przekazuje token dostępu OAuth. Poprawka w wersji 0.11.0.

Open WebUI od wersji 0.9.0 do 0.11.0 zawiera podatność w podglądzie plików terminala, gdzie gałąź iframe dla plików HTML zawsze nadaje uprawnienia allow-same-origin i allow-scripts. Uwierzytelniony użytkownik z dostępem do skonfigurowanego serwera terminala może uruchomić skrypt w kontekście Open WebUI, ukraść token sesji ofiary i przejąć konto, a w przypadku administratora uzyskać możliwość wykonania kodu po stronie serwera.

Open WebUI od wersji 0.9.0 do 0.11.0 sprawdzał, czy adres URL dostarczony przez użytkownika jest globalnie routowalny, stosując ipaddress.is_global do dosłownego adresu IPv6 bez badania adresów IPv4 osadzonych w kodowaniach przejściowych. Wdrożenie z bramą NAT64 pozwala zweryfikowanemu użytkownikowi opakować wewnętrzny adres IPv4 lub adres metadanych chmury w dobrze znany prefiks NAT64, przejść filtr i otrzymać treść odpowiedzi wewnętrznej przez RAG URL ingestion, konwersję URL do markdown lub pobieranie treści z wyszukiwarki.

Podatność w Open WebUI od wersji 0.7.0 do 0.11.0 pozwala uwierzytelnionemu użytkownikowi, któremu odebrano uprawnienie do generowania obrazów, nadal korzystać z tej funkcji przez starsze endpointy czatu. Pomimo blokady flagi image_generation, system nie weryfikował ponownie uprawnień, co umożliwiało nieautoryzowane użycie skonfigurowanego dostawcy obrazów.

Open WebUI w wersjach od 0.9.6 do 0.11.0 umożliwia uwierzytelnionemu użytkownikowi anulowanie zadań (np. generowania odpowiedzi modelu) innego użytkownika, znając jego identyfikator czatu. Dzieje się tak, ponieważ operacja usuwania czatu anuluje zadania przed sprawdzeniem uprawnień do usunięcia. Luka została naprawiona w wersji 0.11.0.

Open WebUI od wersji 0.8.0 do 0.11.0 zawiera podatność w mechanizmie wymiany tokenów OAuth. Gdy ENABLE_OAUTH_TOKEN_EXCHANGE=True, endpoint /oauth/{provider}/token/exchange akceptuje surowy token dostępu i waliduje go bez potwierdzenia, dla którego klienta OAuth został wydany. Każdy posiadacz tokenu wydanego dla dowolnej aplikacji zarejestrowanej u tego samego dostawcy może wymienić go na sesję Open WebUI jako ten użytkownik.

Open WebUI to rozszerzalna, bogata w funkcje i przyjazna dla użytkownika samodzielnie hostowana platforma AI. Od wersji 0.5.0 do 0.11.0 standardowe procedury obsługi aktualizacji i usuwania wiadomości na kanale akceptowały każdego wywołującego z prawem zapisu na kanale, bez sprawdzania, czy wywołujący napisał wiadomość. Ponieważ prawo zapisu jest tym samym uprawnieniem, które członek potrzebuje do publikowania, każdy zwykły uczestnik współdzielonego standardowego kanału mógł przepisać lub trwale usunąć wiadomość innego uczestnika, podczas gdy procedury obsługi wiadomości grupowych i bezpośrednich egzekwowały autorstwo. Problem został naprawiony w wersji 0.11.0.

Open WebUI od wersji 0.6.34 do 0.11.0 renderuje bloki kodu vega i vega-lite w treści czatu, budując widok Vega w przeglądarce bez ograniczonego modułu ładującego zasoby. Użytkownik, który umieści taki blok, może sprawić, że przeglądarka innego użytkownika wyśle żądania GET wybrane przez atakującego i odczyta odpowiedzi z celów samego pochodzenia lub dozwolonych przez CORS.

Open WebUI od wersji 0.9.6 do 0.11.0, przy użyciu silnika WEB_LOADER_ENGINE=playwright, waliduje tylko żądanie najwyższego poziomu, pozwalając na niezweryfikowane żądania podrzędnych zasobów. Strona dostarczona przez uwierzytelnionego użytkownika może użyć JavaScript do uzyskania dostępu do zablokowanych wewnętrznych adresów, a zwrócony DOM może zawierać dane z tych adresów w wynikach wyszukiwania lub RAG.

Podatność w open-webui przed wersją 0.3.14 wynika z błędnej konfiguracji CORS, która zezwala na żądania z dowolnych źródeł (allow_origins=*) oraz uwierzytelnione żądania do endpointu /api/v1/functions. Atakujący może wykonać dowolny kod na instancji open-webui poprzez spreparowane żądania cross-site, gdy administrator odwiedza złośliwą stronę.

Open WebUI przed wersją 0.9.5 zawiera podatność na trwałe ataki XSS w przepływie uwierzytelniania OAuth. Typ MIME adresu URL obrazka profilowego jest określany na podstawie rozszerzenia pliku, a nie nagłówka Content-Type, co pozwala na ominięcie walidatora obrazów i przechowywanie plików SVG jako danych URI. Uwierzytelnieni użytkownicy odwiedzający endpoint obrazka profilowego otrzymują kontrolowaną przez atakującego treść SVG, co umożliwia wykonanie skryptów w tym samym originie, kradzież tokenów uwierzytelniających i przejęcie konta.

Podatność w Open WebUI przed wersją 0.10.0 pozwala na obejście normalizacji ścieżki proxy poprzez dziewięciokrotne zakodowanie sekwencji '../' w formacie percent-encoded. Funkcja _sanitize_proxy_path dekoduje ścieżki tylko osiem razy, co umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.