Podatności Open WebUI

Podatność w Open WebUI od wersji 0.6.16 do 0.10.0 pozwala nieuwierzytelnionym atakującym na manipulację stanem współpracy nad dokumentami przez Socket.IO. Serwer Socket.IO był skonfigurowany z always_connect=True, a handlery ydoc:awareness:update i ydoc:document:leave nie wymagały uwierzytelnienia.

W Open WebUI od wersji 0.8.11 do 0.10.0, endpoint POST /api/v1/images/edit wymagał jedynie zweryfikowanego konta, ale nie sprawdzał globalnego przełącznika edycji obrazów ani uprawnień użytkownika do generowania obrazów. Umożliwiało to nieuprawnionemu użytkownikowi wywołanie edycji obrazów po stronie serwera z użyciem poświadczeń dostawcy skonfigurowanych przez administratora.

Podatność w Open WebUI w wersjach od 0.9.0 do 0.10.0 pozwala dezaktywowanym użytkownikom na kontynuowanie zaplanowanego wykonywania modeli. Funkcja execute_automation przywracała właścicieli automatyzacji bez ponownego sprawdzania ich aktywności, a check_model_access egzekwowała ograniczenia tylko dla dokładnej roli użytkownika.

W Open WebUI od wersji 0.8.12 przed 0.10.0, uwierzytelniony niebędący administratorem użytkownik z dostępem do modelu typu arena może ominąć kontrolę dostępu do bazowego modelu poprzez endpointy zadań, takie jak /api/v1/tasks/moa/completions. Normalna ścieżka czatu sprawdza model arena przed wysłaniem zapytania, natomiast ścieżka zadań wywołuje bezpośrednio funkcję generate_chat_completion() z parametrem bypass_filter=True, pomijając kontrolę dostępu do wybranego podmodelu.

Podatność w Open WebUI przed wersją 0.10.0 umożliwia atakującemu wstrzyknięcie zapytania do konstrukcji URL terminala WebSocket, co pozwala na podszycie się pod innego użytkownika. Dodatkowo, nagłówek X-User-Id w proxy HTTP nie był odpowiednio weryfikowany, co ułatwiało manipulację tożsamością.

W Open WebUI przed wersją 0.10.0 mechanizm filtrowania WEB_FETCH_FILTER_LIST porównywał skonfigurowane wpisy hostów z ciągami URL, co pozwalało na ominięcie blokady poprzez umieszczenie adresu w ścieżce URL (np. !internal.example.com) oraz dopasowanie domen pokrewnych, niezgodne z zamierzoną polityką nazw hostów.

Podatność w Open WebUI w wersjach od 0.7.0 do 0.10.0 umożliwia zwykłemu uczestnikowi kanału pobranie wrażliwych ustawień innych użytkowników, w tym kluczy API i konfiguracji webhooków, poprzez żądanie GET /api/v1/channels//members. Problem został naprawiony w wersji 0.10.0.

Podatność w Open WebUI przed wersją 0.10.0 pozwalała na atak typu ReDoS (Regular Expression Denial of Service) poprzez wysłanie specjalnie spreparowanej wiadomości czatu zawierającej sekwencję <$ bez zamykającego >. Wyrażenia regularne SKILL_MENTION_RE i strip_re w pliku backend/open_webui/utils/middleware.py powodowały kwadratowe cofanie (backtracking), blokując pętlę zdarzeń asyncio.

W Open WebUI przed wersją 0.10.0, przy skonfigurowanym Redis, uwierzytelnianie połączeń czasu rzeczywistego (Socket.IO, WebSocket) używało funkcji decode_token bez sprawdzania unieważnienia tokena w Redis. Umożliwiało to uwierzytelnianie przy użyciu unieważnionych JWT.

W Open WebUI przed wersją 0.10.0 endpoint /api/v1/auths/signin umożliwiał wyliczenie istniejących kont poprzez pomiar czasu odpowiedzi. Zapytania dla zarejestrowanych użytkowników były wolniejsze (z powodu weryfikacji bcrypt) niż dla nieistniejących adresów email, co pozwalało nieuwierzytelnionemu atakującemu na enumerację kont.

W Open WebUI przed wersją 0.10.0 ścieżka przesyłania plików akceptowała parametr metadata.knowledge_id i automatycznie łączyła przesłane pliki z docelową bazą wiedzy bez sprawdzania uprawnień do zapisu, co pozwalało użytkownikom z dostępem tylko do odczytu na dodawanie dowolnych plików.

Podatność w Open WebUI przed wersją 0.10.0 pozwala uwierzytelnionym użytkownikom na wykonanie kodu Python lub narzędzi w sesji innego użytkownika. Atakujący może wykorzystać zdarzenia Socket.IO, aby przejąć kontrolę nad sesją ofiary po poznaniu jej identyfikatora gniazda.

W Open WebUI przed wersją 0.10.0 stwierdzono podatność polegającą na braku weryfikacji, czy identyfikator wątku (parent_id) należy do kanału wskazanego w URL. Umożliwia to uwierzytelnionemu użytkownikowi odwołanie się do wiadomości z innego prywatnego kanału lub kanału DM i ujawnienie kontekstu wątku między kanałami.

Open WebUI przed wersją 0.10.0 uruchamia kod Python po stronie klienta w Pyodide w web workerze tego samego pochodzenia, co pozwala na przechowywanie złośliwych ładunków czatu wykorzystujących pyodide.http.pyfetch lub API fetch i XMLHttpRequest z modułu js. Gdy ofiara kliknie „Uruchom”, wysyłane są uwierzytelnione żądania do tego samego pochodzenia, które mogą dotrzeć do punktów końcowych dostępnych tylko dla administratora i wykonać kod po stronie serwera przez skonfigurowane narzędzia.

W Open WebUI w wersjach od 0.6.27 do 0.10.0, procedury obsługi get_all_models w plikach routers/openai.py i routers/ollama.py przekazywały lambdę do klucza pamięci podręcznej aiocache zamiast key_builder, co powodowało, że filtrowane według uprawnień listy modeli użytkowników współdzieliły statyczny wpis w pamięci podręcznej. W efekcie, w oknie TTL, jeden użytkownik mógł zobaczyć listę modeli innego użytkownika.

W Open WebUI przed wersją 0.10.0 funkcja _verify_knowledge_file_access sprawdzała tylko uprawnienia do odczytu, podczas gdy trasy zapisu i usuwania plików ufały uprawnieniom pochodzącym z obiektu modelu meta.knowledge. Umożliwiało to użytkownikowi z dostępem tylko do odczytu plików wiedzy uzyskanie możliwości zapisu lub usuwania plików.

Podatność SSRF w Open WebUI przed wersją 0.6.27 w punkcie końcowym /api/v1/retrieval/process/web umożliwia uwierzytelnionym użytkownikom ominięcie zabezpieczeń SSRF. Atakujący mogą manipulować parametrami URL za pomocą nagłówków przekierowania lokalizacji, aby uzyskać dostęp do wewnętrznych usług i potencjalnie wykonać polecenia za pomocą sekretów instancji.

W Open WebUI przed wersją 0.8.11 występuje podatność, która pozwala atakującemu na ominięcie kontroli autoryzacji przy dołączaniu do pokoju dokumentu. Dzięki manipulacji identyfikatorem dokumentu, atakujący może uzyskać dostęp do prywatnych treści notatek ofiary.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.6 wprowadziła kontrole ACL na poziomie kolekcji. Jednakże, w trybie wieloosobowym Milvus, te kontrole mogą być obejście, co prowadzi do potencjalnych zagrożeń związanych z nieautoryzowanym dostępem do zasobów.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.6 miała lukę w funkcji validate_url w SafePlaywrightURLLoader, umożliwiającą ataki SSRF. Walidacja adresu URL była przeprowadzana tylko na początkowym URL, co pozwalało atakującym na ominięcie zabezpieczeń poprzez wykorzystanie przekierowań HTTP.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.6 miała podatność na złamanie autoryzacji na poziomie obiektów (BOLA) w narzędziu search_knowledge_files. Umożliwia to uwierzytelnionemu użytkownikowi dostęp do metadanych plików z prywatnych lub ograniczonych baz wiedzy bez odpowiednich uprawnień.

Open WebUI przed wersją 0.9.6 ma lukę, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnej historii podpowiedzi innych użytkowników. Problemy występują w punktach końcowych związanych z historią wersji podpowiedzi, które nie weryfikują, czy dany wpis historii należy do odpowiedniej podpowiedzi.

W Open WebUI przed wersją 0.9.6 występuje podatność typu path traversal w punkcie końcowym serwowania plików cache, która pozwala uwierzytelnionym użytkownikom na odczyt plików z sąsiednich katalogów poza zamierzonym katalogiem cache.

Open WebUI przed wersją 0.9.6 pozwala użytkownikom na przechowywanie dowolnych wpisów meta.knowledge w modelach bez weryfikacji uprawnień do plików. To umożliwia złośliwym właścicielom modeli dostęp do prywatnych plików innych użytkowników.

Open WebUI przed wersją 0.9.6 renderuje bloki Mermaid z plików Markdown w panelu podglądu plików, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do DOM. Z powodu ustawienia securityLevel: 'loose', złośliwe treści kontrolowane przez atakującego mogą być renderowane w sposób niebezpieczny.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.6 pozwalała uwierzytelnionym użytkownikom dołączać dowolne wartości file_id do swoich wiadomości czatu bez weryfikacji, czy mają do nich prawo. To umożliwia atakującym dostęp do plików ofiar poprzez udostępnienie czatu.

W Open WebUI przed wersją 0.9.6 występuje podatność, która pozwala uwierzytelnionemu użytkownikowi na dostęp do plików innych użytkowników poprzez manipulację parametrem image_url.url w żądaniu POST /api/chat/completions. Jeśli wartość ta nie zaczyna się od http://, https:// lub data:image/, jest interpretowana jako identyfikator pliku, co umożliwia odczytanie zawartości pliku bez sprawdzania uprawnień.

W Open WebUI przed wersją 0.9.6 występuje podatność, która pozwala atakującemu z ważną tożsamością OAuth na przesłanie publicznego URL, który przekierowuje do wewnętrznego adresu. Dzięki temu atakujący może odczytać odpowiedź z wewnętrznego serwera.

W Open WebUI przed wersją 0.9.6 występuje luka, która pozwala użytkownikom z rolą zwykłego na przenoszenie wydarzeń między kalendarzami innych użytkowników bez odpowiednich uprawnień. Luka ta polega na braku walidacji identyfikatora kalendarza docelowego w żądaniu aktualizacji wydarzenia.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 miała podatność w procesach uwierzytelniania LDAP i OAuth. Wykorzystywały one wzorzec TOCTOU, co mogło prowadzić do nieautoryzowanego przypisania roli administratora dla pierwszego użytkownika.