Podatności Open WebUI

Open WebUI od wersji 0.8.8 do 0.11.0 ma podatność w terminalowej trasie WebSocket (backend/open_webui/routers/terminals.py), która uwierzytelnia własny JWT pierwszej wiadomości i nie stosuje bramki roli użytkownika (get_verified_user) jak w trasach HTTP. Konto z rolą 'pending' (w tym zarejestrowane ale niezatwierdzone lub dezaktywowane z powrotem do 'pending') może otworzyć interaktywną sesję terminala, jeśli skonfigurowano co najmniej jeden serwer terminala i jego uprawnienia obejmują to konto. Poprawka w wersji 0.11.0.

Open WebUI to rozszerzalna, bogata w funkcje i przyjazna dla użytkownika samodzielnie hostowana platforma AI. Od wersji 0.9.0 do 0.11.0 parsowanie powtarzalności automatyzacji w backend/open_webui/utils/automations.py zakotwiczało reguły minutowe i godzinowe na stałej dacie 2000-01-01, a następnie przechodziło do przodu o jeden interwał, aby znaleźć następne uruchomienie. Pojedyncza reguła FREQ=MINUTELY wylicza synchronicznie około ćwierć wieku wystąpień w pętli zdarzeń, która obsługuje również ruch schedulera, HTTP i WebSocket, a scheduler przelicza następne uruchomienie dla każdego zgłoszonego wiersza przy każdym odpytywaniu. Powoduje to wpływ na dostępność dla każdego innego użytkownika instancji. Problem został naprawiony w wersji 0.11.0.

Open WebUI od wersji 0.9.6 do 0.11.0 ma podatność w endpointzie synchronizacji czyszczenia, który autoryzuje zapis do bazy wiedzy w URL, ale działa na identyfikatorach katalogów i plików podanych w ciele żądania bez sprawdzania, czy należą do tej bazy wiedzy. Użytkownik z prawem zapisu do jednej bazy wiedzy może usuwać katalogi i usunąć embeddingi plików z innej bazy wiedzy, co powoduje wypadanie dokumentów z wyników wyszukiwania i psucie czatu z plikami. Poprawka w wersji 0.11.0.

Open WebUI w wersjach od 0.8.8 do przed 0.11.0 akceptuje załączniki wiedzy dostarczane przez klienta bez filtrowania ich pod kątem praw dostępu do odczytu. Uwierzytelniony użytkownik, znając identyfikator pliku innego użytkownika, może uzyskać dostęp do indeksowanych fragmentów tego pliku, co prowadzi do utraty poufności między użytkownikami. Wersja 0.11.0 naprawia problem.

Open WebUI przed wersją 0.11.0 ma podatność polegającą na tym, że podczas walidacji URL rozwiązywano nazwę hosta i odrzucano adresy prywatne, pętlowe i link-local, ale klienci HTTP ponownie rozwiązywali nazwę hosta w momencie połączenia. Uwierzytelniony atakujący kontrolujący autorytatywny DNS dla zgłoszonej nazwy hosta może odpowiedzieć publicznym adresem podczas walidacji i wewnętrznym podczas połączenia, docierając do metadanych chmury, pętlowych API administracyjnych lub usług wewnętrznych przez URL ingest, pobieranie obrazów czatu, edycję obrazów lub pobieranie zdjęć profilowych OAuth, przy czym większość ścieżek zwraca odpowiedź atakującemu, a ścieżka OAuth przekazuje token dostępu OAuth. Poprawka w wersji 0.11.0.

Open WebUI od wersji 0.9.0 do 0.11.0 zawiera podatność w podglądzie plików terminala, gdzie gałąź iframe dla plików HTML zawsze nadaje uprawnienia allow-same-origin i allow-scripts. Uwierzytelniony użytkownik z dostępem do skonfigurowanego serwera terminala może uruchomić skrypt w kontekście Open WebUI, ukraść token sesji ofiary i przejąć konto, a w przypadku administratora uzyskać możliwość wykonania kodu po stronie serwera.

Open WebUI od wersji 0.9.0 do 0.11.0 sprawdzał, czy adres URL dostarczony przez użytkownika jest globalnie routowalny, stosując ipaddress.is_global do dosłownego adresu IPv6 bez badania adresów IPv4 osadzonych w kodowaniach przejściowych. Wdrożenie z bramą NAT64 pozwala zweryfikowanemu użytkownikowi opakować wewnętrzny adres IPv4 lub adres metadanych chmury w dobrze znany prefiks NAT64, przejść filtr i otrzymać treść odpowiedzi wewnętrznej przez RAG URL ingestion, konwersję URL do markdown lub pobieranie treści z wyszukiwarki.

Podatność w Open WebUI od wersji 0.7.0 do 0.11.0 pozwala uwierzytelnionemu użytkownikowi, któremu odebrano uprawnienie do generowania obrazów, nadal korzystać z tej funkcji przez starsze endpointy czatu. Pomimo blokady flagi image_generation, system nie weryfikował ponownie uprawnień, co umożliwiało nieautoryzowane użycie skonfigurowanego dostawcy obrazów.

Open WebUI w wersjach od 0.9.6 do 0.11.0 umożliwia uwierzytelnionemu użytkownikowi anulowanie zadań (np. generowania odpowiedzi modelu) innego użytkownika, znając jego identyfikator czatu. Dzieje się tak, ponieważ operacja usuwania czatu anuluje zadania przed sprawdzeniem uprawnień do usunięcia. Luka została naprawiona w wersji 0.11.0.

Open WebUI od wersji 0.8.0 do 0.11.0 zawiera podatność w mechanizmie wymiany tokenów OAuth. Gdy ENABLE_OAUTH_TOKEN_EXCHANGE=True, endpoint /oauth/{provider}/token/exchange akceptuje surowy token dostępu i waliduje go bez potwierdzenia, dla którego klienta OAuth został wydany. Każdy posiadacz tokenu wydanego dla dowolnej aplikacji zarejestrowanej u tego samego dostawcy może wymienić go na sesję Open WebUI jako ten użytkownik.

Open WebUI to rozszerzalna, bogata w funkcje i przyjazna dla użytkownika samodzielnie hostowana platforma AI. Od wersji 0.5.0 do 0.11.0 standardowe procedury obsługi aktualizacji i usuwania wiadomości na kanale akceptowały każdego wywołującego z prawem zapisu na kanale, bez sprawdzania, czy wywołujący napisał wiadomość. Ponieważ prawo zapisu jest tym samym uprawnieniem, które członek potrzebuje do publikowania, każdy zwykły uczestnik współdzielonego standardowego kanału mógł przepisać lub trwale usunąć wiadomość innego uczestnika, podczas gdy procedury obsługi wiadomości grupowych i bezpośrednich egzekwowały autorstwo. Problem został naprawiony w wersji 0.11.0.

Open WebUI od wersji 0.6.34 do 0.11.0 renderuje bloki kodu vega i vega-lite w treści czatu, budując widok Vega w przeglądarce bez ograniczonego modułu ładującego zasoby. Użytkownik, który umieści taki blok, może sprawić, że przeglądarka innego użytkownika wyśle żądania GET wybrane przez atakującego i odczyta odpowiedzi z celów samego pochodzenia lub dozwolonych przez CORS.

Open WebUI od wersji 0.9.6 do 0.11.0, przy użyciu silnika WEB_LOADER_ENGINE=playwright, waliduje tylko żądanie najwyższego poziomu, pozwalając na niezweryfikowane żądania podrzędnych zasobów. Strona dostarczona przez uwierzytelnionego użytkownika może użyć JavaScript do uzyskania dostępu do zablokowanych wewnętrznych adresów, a zwrócony DOM może zawierać dane z tych adresów w wynikach wyszukiwania lub RAG.

Podatność w open-webui przed wersją 0.3.14 wynika z błędnej konfiguracji CORS, która zezwala na żądania z dowolnych źródeł (allow_origins=*) oraz uwierzytelnione żądania do endpointu /api/v1/functions. Atakujący może wykonać dowolny kod na instancji open-webui poprzez spreparowane żądania cross-site, gdy administrator odwiedza złośliwą stronę.

Open WebUI przed wersją 0.9.5 zawiera podatność na trwałe ataki XSS w przepływie uwierzytelniania OAuth. Typ MIME adresu URL obrazka profilowego jest określany na podstawie rozszerzenia pliku, a nie nagłówka Content-Type, co pozwala na ominięcie walidatora obrazów i przechowywanie plików SVG jako danych URI. Uwierzytelnieni użytkownicy odwiedzający endpoint obrazka profilowego otrzymują kontrolowaną przez atakującego treść SVG, co umożliwia wykonanie skryptów w tym samym originie, kradzież tokenów uwierzytelniających i przejęcie konta.

Podatność w Open WebUI przed wersją 0.10.0 pozwala na obejście normalizacji ścieżki proxy poprzez dziewięciokrotne zakodowanie sekwencji '../' w formacie percent-encoded. Funkcja _sanitize_proxy_path dekoduje ścieżki tylko osiem razy, co umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.

Podatność w Open WebUI od wersji 0.6.16 do 0.10.0 pozwala nieuwierzytelnionym atakującym na manipulację stanem współpracy nad dokumentami przez Socket.IO. Serwer Socket.IO był skonfigurowany z always_connect=True, a handlery ydoc:awareness:update i ydoc:document:leave nie wymagały uwierzytelnienia.

W Open WebUI od wersji 0.8.11 do 0.10.0, endpoint POST /api/v1/images/edit wymagał jedynie zweryfikowanego konta, ale nie sprawdzał globalnego przełącznika edycji obrazów ani uprawnień użytkownika do generowania obrazów. Umożliwiało to nieuprawnionemu użytkownikowi wywołanie edycji obrazów po stronie serwera z użyciem poświadczeń dostawcy skonfigurowanych przez administratora.

Podatność w Open WebUI w wersjach od 0.9.0 do 0.10.0 pozwala dezaktywowanym użytkownikom na kontynuowanie zaplanowanego wykonywania modeli. Funkcja execute_automation przywracała właścicieli automatyzacji bez ponownego sprawdzania ich aktywności, a check_model_access egzekwowała ograniczenia tylko dla dokładnej roli użytkownika.

W Open WebUI od wersji 0.8.12 przed 0.10.0, uwierzytelniony niebędący administratorem użytkownik z dostępem do modelu typu arena może ominąć kontrolę dostępu do bazowego modelu poprzez endpointy zadań, takie jak /api/v1/tasks/moa/completions. Normalna ścieżka czatu sprawdza model arena przed wysłaniem zapytania, natomiast ścieżka zadań wywołuje bezpośrednio funkcję generate_chat_completion() z parametrem bypass_filter=True, pomijając kontrolę dostępu do wybranego podmodelu.

Podatność w Open WebUI przed wersją 0.10.0 umożliwia atakującemu wstrzyknięcie zapytania do konstrukcji URL terminala WebSocket, co pozwala na podszycie się pod innego użytkownika. Dodatkowo, nagłówek X-User-Id w proxy HTTP nie był odpowiednio weryfikowany, co ułatwiało manipulację tożsamością.

W Open WebUI przed wersją 0.10.0 mechanizm filtrowania WEB_FETCH_FILTER_LIST porównywał skonfigurowane wpisy hostów z ciągami URL, co pozwalało na ominięcie blokady poprzez umieszczenie adresu w ścieżce URL (np. !internal.example.com) oraz dopasowanie domen pokrewnych, niezgodne z zamierzoną polityką nazw hostów.

Podatność w Open WebUI w wersjach od 0.7.0 do 0.10.0 umożliwia zwykłemu uczestnikowi kanału pobranie wrażliwych ustawień innych użytkowników, w tym kluczy API i konfiguracji webhooków, poprzez żądanie GET /api/v1/channels//members. Problem został naprawiony w wersji 0.10.0.

Podatność w Open WebUI przed wersją 0.10.0 pozwalała na atak typu ReDoS (Regular Expression Denial of Service) poprzez wysłanie specjalnie spreparowanej wiadomości czatu zawierającej sekwencję <$ bez zamykającego >. Wyrażenia regularne SKILL_MENTION_RE i strip_re w pliku backend/open_webui/utils/middleware.py powodowały kwadratowe cofanie (backtracking), blokując pętlę zdarzeń asyncio.

W Open WebUI przed wersją 0.10.0, przy skonfigurowanym Redis, uwierzytelnianie połączeń czasu rzeczywistego (Socket.IO, WebSocket) używało funkcji decode_token bez sprawdzania unieważnienia tokena w Redis. Umożliwiało to uwierzytelnianie przy użyciu unieważnionych JWT.

W Open WebUI przed wersją 0.10.0 endpoint /api/v1/auths/signin umożliwiał wyliczenie istniejących kont poprzez pomiar czasu odpowiedzi. Zapytania dla zarejestrowanych użytkowników były wolniejsze (z powodu weryfikacji bcrypt) niż dla nieistniejących adresów email, co pozwalało nieuwierzytelnionemu atakującemu na enumerację kont.

W Open WebUI przed wersją 0.10.0 ścieżka przesyłania plików akceptowała parametr metadata.knowledge_id i automatycznie łączyła przesłane pliki z docelową bazą wiedzy bez sprawdzania uprawnień do zapisu, co pozwalało użytkownikom z dostępem tylko do odczytu na dodawanie dowolnych plików.

Podatność w Open WebUI przed wersją 0.10.0 pozwala uwierzytelnionym użytkownikom na wykonanie kodu Python lub narzędzi w sesji innego użytkownika. Atakujący może wykorzystać zdarzenia Socket.IO, aby przejąć kontrolę nad sesją ofiary po poznaniu jej identyfikatora gniazda.

W Open WebUI przed wersją 0.10.0 stwierdzono podatność polegającą na braku weryfikacji, czy identyfikator wątku (parent_id) należy do kanału wskazanego w URL. Umożliwia to uwierzytelnionemu użytkownikowi odwołanie się do wiadomości z innego prywatnego kanału lub kanału DM i ujawnienie kontekstu wątku między kanałami.

Open WebUI przed wersją 0.10.0 uruchamia kod Python po stronie klienta w Pyodide w web workerze tego samego pochodzenia, co pozwala na przechowywanie złośliwych ładunków czatu wykorzystujących pyodide.http.pyfetch lub API fetch i XMLHttpRequest z modułu js. Gdy ofiara kliknie „Uruchom”, wysyłane są uwierzytelnione żądania do tego samego pochodzenia, które mogą dotrzeć do punktów końcowych dostępnych tylko dla administratora i wykonać kod po stronie serwera przez skonfigurowane narzędzia.

W Open WebUI w wersjach od 0.6.27 do 0.10.0, procedury obsługi get_all_models w plikach routers/openai.py i routers/ollama.py przekazywały lambdę do klucza pamięci podręcznej aiocache zamiast key_builder, co powodowało, że filtrowane według uprawnień listy modeli użytkowników współdzieliły statyczny wpis w pamięci podręcznej. W efekcie, w oknie TTL, jeden użytkownik mógł zobaczyć listę modeli innego użytkownika.

W Open WebUI przed wersją 0.10.0 funkcja _verify_knowledge_file_access sprawdzała tylko uprawnienia do odczytu, podczas gdy trasy zapisu i usuwania plików ufały uprawnieniom pochodzącym z obiektu modelu meta.knowledge. Umożliwiało to użytkownikowi z dostępem tylko do odczytu plików wiedzy uzyskanie możliwości zapisu lub usuwania plików.

Podatność SSRF w Open WebUI przed wersją 0.6.27 w punkcie końcowym /api/v1/retrieval/process/web umożliwia uwierzytelnionym użytkownikom ominięcie zabezpieczeń SSRF. Atakujący mogą manipulować parametrami URL za pomocą nagłówków przekierowania lokalizacji, aby uzyskać dostęp do wewnętrznych usług i potencjalnie wykonać polecenia za pomocą sekretów instancji.

W Open WebUI przed wersją 0.8.11 występuje podatność, która pozwala atakującemu na ominięcie kontroli autoryzacji przy dołączaniu do pokoju dokumentu. Dzięki manipulacji identyfikatorem dokumentu, atakujący może uzyskać dostęp do prywatnych treści notatek ofiary.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.6 wprowadziła kontrole ACL na poziomie kolekcji. Jednakże, w trybie wieloosobowym Milvus, te kontrole mogą być obejście, co prowadzi do potencjalnych zagrożeń związanych z nieautoryzowanym dostępem do zasobów.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.6 miała lukę w funkcji validate_url w SafePlaywrightURLLoader, umożliwiającą ataki SSRF. Walidacja adresu URL była przeprowadzana tylko na początkowym URL, co pozwalało atakującym na ominięcie zabezpieczeń poprzez wykorzystanie przekierowań HTTP.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.6 miała podatność na złamanie autoryzacji na poziomie obiektów (BOLA) w narzędziu search_knowledge_files. Umożliwia to uwierzytelnionemu użytkownikowi dostęp do metadanych plików z prywatnych lub ograniczonych baz wiedzy bez odpowiednich uprawnień.

Open WebUI przed wersją 0.9.6 ma lukę, która pozwala uwierzytelnionym użytkownikom na dostęp do prywatnej historii podpowiedzi innych użytkowników. Problemy występują w punktach końcowych związanych z historią wersji podpowiedzi, które nie weryfikują, czy dany wpis historii należy do odpowiedniej podpowiedzi.

W Open WebUI przed wersją 0.9.6 występuje podatność typu path traversal w punkcie końcowym serwowania plików cache, która pozwala uwierzytelnionym użytkownikom na odczyt plików z sąsiednich katalogów poza zamierzonym katalogiem cache.

Open WebUI przed wersją 0.9.6 pozwala użytkownikom na przechowywanie dowolnych wpisów meta.knowledge w modelach bez weryfikacji uprawnień do plików. To umożliwia złośliwym właścicielom modeli dostęp do prywatnych plików innych użytkowników.

Open WebUI przed wersją 0.9.6 renderuje bloki Mermaid z plików Markdown w panelu podglądu plików, co pozwala na wstrzyknięcie złośliwego kodu JavaScript do DOM. Z powodu ustawienia securityLevel: 'loose', złośliwe treści kontrolowane przez atakującego mogą być renderowane w sposób niebezpieczny.

Open WebUI to platforma sztucznej inteligencji, która przed wersją 0.9.6 pozwalała uwierzytelnionym użytkownikom dołączać dowolne wartości file_id do swoich wiadomości czatu bez weryfikacji, czy mają do nich prawo. To umożliwia atakującym dostęp do plików ofiar poprzez udostępnienie czatu.

W Open WebUI przed wersją 0.9.6 występuje podatność, która pozwala uwierzytelnionemu użytkownikowi na dostęp do plików innych użytkowników poprzez manipulację parametrem image_url.url w żądaniu POST /api/chat/completions. Jeśli wartość ta nie zaczyna się od http://, https:// lub data:image/, jest interpretowana jako identyfikator pliku, co umożliwia odczytanie zawartości pliku bez sprawdzania uprawnień.

W Open WebUI przed wersją 0.9.6 występuje podatność, która pozwala atakującemu z ważną tożsamością OAuth na przesłanie publicznego URL, który przekierowuje do wewnętrznego adresu. Dzięki temu atakujący może odczytać odpowiedź z wewnętrznego serwera.

W Open WebUI przed wersją 0.9.6 występuje luka, która pozwala użytkownikom z rolą zwykłego na przenoszenie wydarzeń między kalendarzami innych użytkowników bez odpowiednich uprawnień. Luka ta polega na braku walidacji identyfikatora kalendarza docelowego w żądaniu aktualizacji wydarzenia.

Open WebUI to samodzielnie hostowana platforma sztucznej inteligencji, która przed wersją 0.9.0 miała podatność w procesach uwierzytelniania LDAP i OAuth. Wykorzystywały one wzorzec TOCTOU, co mogło prowadzić do nieautoryzowanego przypisania roli administratora dla pierwszego użytkownika.