Podatności Open WebUI

W Open WebUI przed wersją 0.8.6 występuje podatność w API do uzupełniania czatu, która pozwala atakującym na obejście ograniczeń narzędzi, co może prowadzić do nieautoryzowanych działań lub dostępu.

W Open WebUI przed wersją 0.9.0 występuje podatność typu Server-Side Request Forgery (SSRF) w funkcji _process_picture_url(), która umożliwia atakującemu wymuszenie na serwerze wykonywania żądań HTTP do wewnętrznych zasobów.

Open WebUI przed wersją 0.9.3 ma podatność, która pozwala na przesyłanie plików audio z rozszerzeniem HTML, co może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników. Użytkownik z odpowiednimi uprawnieniami może oszukać innych, aby otworzyli złośliwy link.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.5 pozwalała na wstrzykiwanie i wykonywanie skryptów poprzez widok renderowania HTML. Zawartość czatu była osadzona w iFrame z ograniczeniami, które w praktyce były niewystarczające.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.3.16 miała brak kontroli uprawnień w plikach związanych z punktami końcowymi API. Umożliwiało to każdemu uwierzytelnionemu użytkownikowi przeglądanie, dostęp i usuwanie wszystkich plików przesłanych przez innych użytkowników.

W Open WebUI przed wersją 0.6.19 występowały niespójności w kontrolach autoryzacji dotyczących API pamięci, co pozwalało standardowym użytkownikom na usuwanie, przywracanie i przeglądanie zawartości pamięci innych użytkowników.

W Open WebUI przed wersją 0.6.19 występuje podatność IDOR w systemie zarządzania wiadomościami kanałów, która pozwala uwierzytelnionym użytkownikom na modyfikację lub usunięcie dowolnej wiadomości w kanałach, do których mają dostęp. Problem wynika z braku walidacji własności wiadomości w punktach końcowych aktualizacji i usuwania wiadomości.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.1.124 nieprawidłowo weryfikowała, czy użytkownik ma autoryzowaną rolę. Domyślnie, przy włączonej opcji rejestracji nowych użytkowników, rola użytkownika jest ustawiana na 'oczekującą', co wymaga interwencji administratora w celu przyznania odpowiedniej roli.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.1.124 nie weryfikowała ani nie sanitizowała nazw plików przesyłanych przez użytkowników. Umożliwia to przesyłanie plików z nazwami zawierającymi segmenty kropkowe, co pozwala na przechodzenie poza zamierzony katalog przesyłania.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.6.10 nie weryfikowała ani nie oczyszczała nazw plików podczas przesyłania plików audio. Umożliwia to użytkownikom przesyłanie plików z nazwami zawierającymi segmenty kropkowe, co pozwala na przechodzenie poza zamierzony katalog przesyłania.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.0 niebezpiecznie podglądała załączniki plików Excel. Opracowany ładunek XLSX mógł wykorzystać funkcję sheetjs sheet_to_html do osadzenia ładunku XSS w generowanym HTML.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.8.12 pozwalała na wykonywanie dowolnego kodu Python przez zweryfikowanych użytkowników, mimo że administrator ustawił ENABLE_CODE_EXECUTION=false. Punkt końcowy API nie egzekwował tej konfiguracji, co prowadziło do nieautoryzowanego wykonania kodu.

W wersjach przed 0.9.5 funkcja validate_url() w Open WebUI nie weryfikuje przekierowań HTTP 3xx, co pozwala uwierzytelnionym użytkownikom na dostęp do wewnętrznych adresów IP poprzez publiczne URL-e. Może to prowadzić do nieautoryzowanego odczytu danych z wewnętrznych zasobów.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która działa całkowicie offline. Przed wersją 0.9.5 występowała luka w zabezpieczeniach związana z obejściem SSRF spowodowana różnicą w analizie między bibliotekami urlparse a requests.

W Open WebUI przed wersją 0.9.5 występuje luka, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnych baz wiedzy za pomocą znajomości UUID. Luka ta umożliwia również atakującym wstrzykiwanie lub nadpisywanie zawartości baz wiedzy innych użytkowników.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.5 nie sprawdzała uprawnień do zarządzania narzędziami podczas aktualizacji narzędzi. Umożliwia to użytkownikom, którym odmówiono uprawnień, na zastąpienie zawartości Pythona po stronie serwera narzędzia, co może prowadzić do nieautoryzowanego wykonania kodu.

Open WebUI przed wersją 0.9.0 zawierał podatność typu XSS, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami do tworzenia modeli na wykonywanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników, w tym administratorów, którzy oglądali złośliwy model w interfejsie czatu.

W Open WebUI przed wersją 0.9.0, uwierzytelniony użytkownik mógł trwale usunąć pliki należące do innych użytkowników poprzez wywołanie DELETE /api/v1/files/{id}, jeśli plik był powiązany z jakimkolwiek udostępnionym czatem. Mechanizm autoryzacji has_access_to_file() nie sprawdzał tożsamości użytkownika ani typu wykonywanej operacji.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.0 pozwalała uwierzytelnionym użytkownikom o niskich uprawnieniach na enumerację aktywnych zadań w tle oraz zatrzymywanie zadań innych użytkowników. To stanowi poważną lukę w autoryzacji, wpływającą na integralność i użyteczność w środowiskach wieloużytkownikowych.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 pozwalała użytkownikom na kontynuowanie rozmowy innego użytkownika, wykorzystując jego Chat ID oraz własny klucz API.

W wersjach przed 0.9.0 platformy Open WebUI, funkcja validate_url() nieprawidłowo waliduje adresy IPv6, co pozwala na przejście każdego adresu przez filtr. Dodatkowo, adresy IPv4-mapped IPv6 oraz kilka zarezerwowanych zakresów IPv4 nie są blokowane.

W wersjach przed 0.9.0, punkt końcowy /responses w routerze OpenAI akceptuje każdego uwierzytelnionego użytkownika i przekazuje żądania do dostawców LLM bez egzekwowania kontroli dostępu na poziomie modelu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi interakcję z dowolnym modelem skonfigurowanym w instancji.

Open WebUI przed wersją 0.9.0 ma lukę, która pozwala użytkownikom z domyślnymi uprawnieniami do tworzenia modeli na tworzenie modeli łańcuchowych, które odwołują się do zastrzeżonych modeli bazowych. Weryfikacja dostępu do modeli bazowych nie jest przeprowadzana, co umożliwia nieautoryzowany dostęp.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 nie weryfikowała uprawnień użytkownika do modyfikacji kolekcji danych. Endpoint POST /api/v1/retrieval/process/web akceptował parametry, które mogły prowadzić do nieautoryzowanego usunięcia kolekcji danych.

Open WebUI to platforma sztucznej inteligencji działająca offline, która przed wersją 0.9.0 nie aktualizowała puli sesji po zmianach ról administracyjnych i usunięciach użytkowników. Użytkownik, któremu odebrano rolę administratora, nadal posiadał uprawnienia administracyjne w istniejącej sesji Socket.IO, dopóki utrzymywał połączenie.

W wersjach przed 0.9.0 Open WebUI, klucze tool_servers i terminal_servers w utils/tools.py nie używają prefiksu, co prowadzi do kolizji kluczy w przypadku współdzielenia bazy danych Redis przez wiele instancji. To może skutkować nadpisywaniem konfiguracji serwera narzędzi przez inną instancję.

W wersjach przed 0.9.0 platformy Open WebUI, punkt końcowy uwierzytelniania LDAP nie weryfikuje, czy przesłane hasło jest puste przed wykonaniem prostego połączenia z serwerem LDAP. Model Pydantic LdapForm akceptuje hasło jako ciąg znaków bez minimalnych wymagań długości, co pozwala na przesłanie pustego ciągu.

Open WebUI od wersji 0.8.0 do 0.11.1 — endpoint wymiany tokenu OAuth wystawia sesję dla tokenu dostępu dostawcy bez uruchamiania zarządzania rolami OAuth, które wykonuje normalny callback logowania OAuth. Użytkownik, którego role u dostawcy callback logowania by odrzucił lub zdegradował, może mimo to uzyskać działającą sesję z dotychczasową rolą przez ten endpoint. Problem naprawiono w wersji 0.11.1.

Open WebUI od wersji 0.8.0 do 0.9.0 — endpoint wymiany tokenu OAuth wystawia sesję dla tokenu dostępu dostawcy bez stosowania allowlisty domen e-mail, którą wymusza normalny callback logowania OAuth. Konto, którego domena e-mail zostałaby odrzucona przez callback logowania, może mimo to uzyskać działającą sesję przez ten endpoint. Problem naprawiono w wersji 0.9.0.

Open WebUI w wersjach od 0.5.0 do 0.11.1 zawiera podatność na nieskończoną pętlę w funkcji pomocniczej rekonstrukcji łańcucha wiadomości w backend/open_webui/utils/misc.py. Uwierzytelniony użytkownik może przechowywać wiadomości bez identyfikatora w cyklicznej strukturze, co blokuje pętlę zdarzeń i powoduje wzrost pamięci aż do zatrzymania procesu. Problem naprawiono w wersji 0.11.1.

Open WebUI w wersjach od 0.9.5 do 0.11.1 nie ponownie stosuje filtrów WEB_FETCH_FILTER_LIST ani kontroli adresów prywatnych przy przekierowaniach HTTP, gdy włączona jest opcja AIOHTTP_CLIENT_ALLOW_REDIRECTS. Uwierzytelniony użytkownik może przekierować żądania do wykluczonych hostów, pętli zwrotnej, sieci prywatnych lub usług metadanych chmury, a następnie wykorzystać wyniki w wyszukiwaniu, przetwarzaniu URL, narzędziach pobierania stron lub przetwarzaniu obrazów czatu. Problem naprawiono w wersji 0.11.1.

Open WebUI w wersjach od 0.10.0 do 0.11.1 zawiera podatność na nieskończoną pętlę w funkcji usuwania wiadomości w backend/open_webui/models/chats.py. Uwierzytelniony użytkownik może utworzyć cykliczne drzewo czatu i usunąć wiadomość, co powoduje zablokowanie pętli żądań serwera i uniemożliwia obsługę żądań innych użytkowników aż do zabicia procesu. Problem naprawiono w wersji 0.11.1.

Open WebUI przed wersją 0.11.1 w punktach końcowych POST /api/v1/retrieval/process/web i POST /api/v1/retrieval/process/web/search traktowało globalnie routowalną klasyfikację adresów Pythona jako dowód, że cel jest zewnętrzny. Uwierzytelniony użytkownik mógł sprawić, że instancja hostowana na platformie Azure pobierze i zwróci treści z adresu 168.63.129.16 (kanał platformy Azure) oraz innych zastrzeżonych zakresów, które standardowa klasyfikacja odrzucała.

Open WebUI od wersji 0.10.0 do 0.11.1 w punkcie końcowym DELETE /api/v1/knowledge/{id}/delete autoryzowało usunięcie względem bazy wiedzy, ale następnie usuwało zewnętrzne połączenie należące do administratora bez osobnej kontroli administratora lub sprawdzenia innych zależnych baz wiedzy. Niebędący administratorem użytkownik z prawem zapisu do jednej zewnętrznej bazy wiedzy mógł usunąć współdzieloną konfigurację instancji i uczynić niedostępnymi wszystkie inne bazy wiedzy korzystające z tego połączenia.

Open WebUI w wersjach od 0.10.0 do 0.11.1 nie sprawdza uprawnień zapisu do folderu przy tworzeniu nowego czatu z podanym folder_id w endpointach POST /api/chat/completions i POST /api/v1/chat/completions. Uwierzytelniony użytkownik, znając identyfikator folderu współdzielonego, może wstrzyknąć czat do folderu, do którego ma tylko odczyt lub brak uprawnień zapisu, co powoduje wyświetlenie wpisu autoryzowanym czytelnikom folderu. Problem naprawiono w wersji 0.11.1.

Open WebUI od wersji 0.9.6 do 0.11.1 w SafePlaywrightURLLoader w backend/open_webui/retrieval/web/utils.py walidowało kontrolowaną przez użytkownika nazwę hosta w Pythonie, a następnie pozwalało przeglądarce Playwright na ponowne jej rozwiązanie w przechwytujących żądania synchroniczne i asynchroniczne. Uwierzytelniony użytkownik kontrolujący autorytatywny DNS mógł zwrócić publiczny adres do walidacji i wewnętrzny adres do przeglądarki, ujawniając odpowiedzi z wewnętrznych usług lub metadanych chmury poprzez wyszukiwanie w sieci lub pobieranie URL.

Open WebUI od wersji 0.8.11 do 0.11.1 w src/lib/components/chat/FileNav/PortPreview.svelte renderowało zawartość portu terminala w iframe sandbox zawierającym zarówno allow-scripts, jak i allow-same-origin. Ponieważ proxy terminala serwuje tę zawartość z pochodzenia Open WebUI, uwierzytelniony użytkownik mający dostęp do współdzielonego serwera terminala mógł umieścić skrypt na podglądanym porcie i przejąć konto ofiary, gdy ofiara otworzyła podgląd.

Open WebUI w wersjach od 0.9.5 do 0.11.1 nie weryfikuje, czy wywołujący użytkownik jest autorem wiadomości w kanale podczas korzystania z endpointu chat completions. Członek kanału może zastąpić wiadomość innego członka, zachowując oryginalnego autora, co zmienia zapis rozmowy bez uzyskiwania dostępu do innych kanałów. Problem naprawiono w wersji 0.11.1.

Open WebUI w wersjach od 0.7.0 do 0.11.1 nie stosuje filtra metadanych w wbudowanym narzędziu wyszukiwania wiedzy, co pozwala uwierzytelnionemu użytkownikowi na wyliczenie identyfikatorów, nazw i opisów niedostępnych baz wiedzy w współdzielonej kolekcji. Tekst dokumentów pozostaje w oddzielnych kolekcjach, ale metadane są ujawniane. Problem naprawiono w wersji 0.11.1.

Open WebUI od wersji 0.6.41 do 0.11.1 w funkcjach get_user_by_oauth_sub i get_user_by_scim_external_id w backend/open_webui/models/users.py używało dopasowania JSON zawierającego, które kompilowało się do dopasowania podciągów SQL LIKE na SQLite. Temat OAuth zawierający znaki specjalne procent lub podkreślenie mógł rozwiązać się do innej zapisanej tożsamości, potencjalnie wybierając konto administratora i wydając atakującemu sesję tego konta; wdrożenia PostgreSQL nie były dotknięte.

Open WebUI w wersjach od 0.6.27 do 0.11.1 nieprawidłowo przechowuje ciasteczka sesji w narzędziach zewnętrznych, co może prowadzić do wycieku ciasteczek sesji użytkownika do operatora innego serwera narzędzi. Gdy wiele serwerów narzędzi jest podłączonych, a sesja lub połączenie OAuth jest przetwarzane jako ostatnie, żądanie do innego serwera może zawierać ciasteczka sesji Open WebUI, umożliwiając przejęcie konta. Problem naprawiono w wersji 0.11.1.

Open WebUI w wersjach od 0.9.0 do 0.11.1 nie unieważnia buforowanego rekordu użytkownika po zmianie roli administratora. Administrator zdegradowany przez zaufany nagłówek lub mapowanie ról OAuth może utrzymać otwarte połączenie Socket.IO i nadal czytać oraz edytować notatki wszystkich użytkowników, dopóki połączenie nie zostanie zamknięte. Problem naprawiono w wersji 0.11.1.

Open WebUI w wersjach od 0.10.0 do 0.11.1 umożliwia uwierzytelnionemu użytkownikowi umieszczenie folderu pod samym sobą lub pod jego podfolderem, tworząc cykl w drzewie folderów. Brak śledzenia odwiedzonych identyfikatorów folderów podczas operacji usuwania i odczytu pozwala na wywołanie żądania, które nieprzerwanie zużywa zasoby CPU i pamięci, aż do naprawy stanu.

Open WebUI w wersjach od 0.9.0 do 0.11.1 przechowuje wartość alert_minutes w zdarzeniach kalendarza bez walidacji typu, a harmonogram porównuje ją numerycznie. Uwierzytelniony użytkownik z uprawnieniami kalendarza może zapisać nienumeryczną wartość, co powoduje wyjątek i przerywa globalny przebieg alertów, tłumiąc przypomnienia wszystkich użytkowników.

W Open WebUI od wersji 0.9.0 do 0.11.1, nieuwierzytelniony punkt końcowy POST /oauth/backchannel-logout pobiera dokument OIDC discovery i klucze podpisujące przed walidacją tokenu wylogowania, co powoduje niepotrzebne żądania sieciowe i blokowanie pętli zdarzeń, umożliwiając atak DoS na pojedynczą instancję.

Open WebUI w wersjach od 0.9.5 do 0.10.0 umożliwia każdemu uwierzytelnionemu użytkownikowi nadpisanie treści wiadomości w kanale, do którego nie należy (w tym kanały prywatne i DM), poprzez wysłanie żądania z prefiksem channel: w chat_id i docelowym message_id. Problem został naprawiony w wersji 0.10.0.

W Open WebUI w wersjach od 0.10.0 do 0.11.0, procedura DELETE /api/v1/folders/{id} w backend/open_webui/routers/folders.py pozwalała użytkownikowi z prawem zapisu do współdzielonego folderu czatu na trwałe usunięcie czatów i wiadomości należących do właściciela folderu. Kontrola autoryzacji nie wymagała własności ani uprawnień administratora, a kaskada usuwania była powiązana z ID właściciela. Współpracownik może zniszczyć poddrzewo właściciela lub wymusić przeniesienie czatów.

Open WebUI w wersjach od 0.9.6 do 0.11.0 ma podatność na atak DoS w ścieżce wyszukiwania wiedzy. Wzorce zawierające metaznaki regex są kompilowane z silnikiem re z backtrackingiem i uruchamiane bez limitu czasu, co pozwala na zablokowanie rdzenia CPU i zatrzymanie pętli zdarzeń. Problem został naprawiony w wersji 0.11.0.

W Open WebUI w wersjach od 0.10.0 do 0.11.0, komponent KatexRenderer.svelte mógł przechowywać i renderować wiadomość czatu, której blok matematyczny powoduje przepełnienie stosu w KaTeX zamiast błędu parsowania. W wyniku błędu, oryginalny kod matematyczny był wstawiany do strony jako HTML przez {@html}, co pozwala na wykonanie skryptu w przeglądarce każdego, kto widzi wiadomość, w tym współdzielone czaty i kanały. Można ukraść token sesji widza, a administrator może stracić konto.

W Open WebUI w wersji 0.10.2 i wcześniejszych, endpointy GET /api/v1/tools/, GET /api/v1/tools/list oraz GET /api/v1/tools/id/{id} zwracały pełny kod źródłowy narzędzi Python uwierzytelnionym użytkownikom niebędącym administratorami z uprawnieniami tylko do odczytu. Pole ToolResponse celowo pomijało źródło i specyfikacje, ale ToolUserResponse zezwalało na dodatkowe pola, a handlery rozprzestrzeniały pełny model narzędzia w odpowiedzi, ponownie ujawniając pominięte pola.