Open WebUI

GPT-SoVITS (bis einschliesslich 20250606v2pro) enthält eine OS-Command-Injection-Schwachstelle in webui.py. Die Funktionen ASR, slice, denoise und uvr5 übernehmen nicht bereinigte Werte aus Gradio-Textfeldern direkt in Shell-Aufrufe, sodass beliebige Betriebssystembefehle ausgeführt werden können. CVSS-Basiswert: 9.8 (Kritisch).

Hermes WebUI vor Version 0.51.788 enthält eine unauthentifizierte Remote-Code-Execution-Schwachstelle. Angreifer können über den eingebetteten Terminal-API-Endpunkt beliebige Shell-Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: auf Hermes WebUI 0.51.788 oder neuer aktualisieren.

Eine Schwachstelle in open-webui/open-webui Version 0.3.8 ermöglicht einem Angreifer mit einem Konto auf Benutzerebene einen Session-Fixation-Angriff. Das Session-Cookie aller Benutzer wird mit dem Standardwert SameSite=Lax gesetzt und hat das Secure-Flag nicht aktiviert. Ein Angreifer kann dies ausnutzen, indem er ein bösartiges Markdown-Bild in einen Chat einbettet, das beim Betrachten durch einen Administrator dessen Session-Cookie an den Server des Angreifers sendet. Dies kann zu einer unauffälligen Übernahme des Administratorkontos und möglicherweise zur Remote-Code-Ausführung (RCE) führen. CVSS-Basiswert: 9.0 (Kritisch).

Hermes WebUI vor Version 0.51.307 enthält eine Authentifizierungsumgehung, mit der nicht authentifizierte, entfernte Angreifer die auf lokale Herkunft (local-origin) beschränkten IP-Einschränkungen der Onboarding-Endpunkte umgehen können. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 0.51.307 oder neuer aktualisieren.

Open WebUI prüft im LDAP-Authentifizierungsendpunkt vor Version 0.9.0 nicht, ob das übermittelte Passwort nicht leer ist, bevor ein Simple Bind gegen den LDAP-Server ausgeführt wird. Auf verwundbaren LDAP-Servern gelingt der Bind mit leerem Passwort, sodass die Anwendung ein gültiges Sitzungstoken für den Zielbenutzer ausstellt und die Authentifizierung umgangen wird. Der CVSS-Basiswert liegt bei 9.1 (Kritisch). Empfohlene Massnahme: auf Open WebUI 0.9.0 aktualisieren.

In LangChain-ChatGLM-Webui (Commit ef829) bestehen unsichere Berechtigungen, über die Angreifer mittels einer präparierten Anfrage beliebige sensible Dateien einsehen und herunterladen können. CVSS-Basiswert: 9.8 (Kritisch).

In GPT-SoVITS-WebUI (Version 20250228v3 und früher) besteht in der Funktion open_slice von webui.py eine Command-Injection-Schwachstelle. Benutzereingaben aus slice_opt_root und slice-inp-path werden in einen Befehl eingesetzt und auf dem Server ausgeführt, was zu beliebiger Befehlsausführung führt. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung war keine gepatchte Version verfügbar.

In GPT-SoVITS-WebUI (Versionen 20250228v3 und früher) besteht in vr.py AudioPre eine unsichere Deserialisierung: Die Variable model_choose übernimmt Benutzereingaben und reicht sie an die uvr-Funktion weiter, wo der Modellpfad schliesslich mit torch.load geladen wird. Dies kann zur Ausführung von Schadcode führen. Zum Zeitpunkt der Veröffentlichung ist keine gepatchte Version verfügbar. CVSS-Basiswert: 9.8 (Kritisch).

In GPT-SoVITS-WebUI (Version 20250228v3 und früher) besteht eine Command-Injection-Schwachstelle in der Funktion open_asr von webui.py. Benutzereingaben werden dabei in einen Befehl eingefügt und auf dem Server ausgeführt, was die Ausführung beliebiger Befehle ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung sind keine gepatchten Versionen bekannt.

In GPT-SoVITS-WebUI, einer Weboberfläche für Sprachkonvertierung und Text-to-Speech, besteht in der Funktion change_label von webui.py eine Command-Injection-Schwachstelle. Nutzereingaben aus dem Parameter path_list werden in einen Befehl eingefügt und auf dem Server ausgeführt, was beliebige Befehlsausführung erlaubt. Betroffen sind Version 20250228v3 und früher; zum Zeitpunkt der Veröffentlichung war keine korrigierte Version verfügbar. CVSS-Basiswert: 9.8 (Kritisch).

In GPT-SoVITS-WebUI, einer WebUI für Sprachkonvertierung und Text-to-Speech, besteht in der Funktion open_denoise in webui.py eine Command-Injection-Schwachstelle. Die Parameter denoise_inp_dir und denoise_opt_dir nehmen Benutzereingaben entgegen, die zu einem Befehl zusammengesetzt und serverseitig ausgeführt werden, was beliebige Codeausführung ermöglicht. Betroffen sind Version 20250228v3 und früher; zum Zeitpunkt der Veröffentlichung war kein Patch verfügbar. CVSS-Basiswert: 9.8 (Kritisch).

In GPT-SoVITS-WebUI bis einschliesslich Version 20250228v3 besteht in vr.py (AudioPreDeEcho) eine unsichere Deserialisierung. Benutzergesteuerte Eingaben werden als Modellpfad an torch.load übergeben, wodurch beim Laden präparierter Modelldateien Schadcode ausgeführt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung war kein Patch verfügbar.

GPT-SoVITS-WebUI ist eine Weboberfläche für Stimmkonvertierung und Text-zu-Sprache. In Version 20250228v3 und früher besteht in bsroformer.py eine unsichere Deserialisierung. Eine benutzergesteuerte Modellpfad-Eingabe wird über die Funktion uvr an die Klasse Roformer_Loader weitergereicht und dort mit torch.load geladen, was zu unsicherer Deserialisierung führen kann. Zum Zeitpunkt der Veröffentlichung ist keine gepatchte Version verfügbar. CVSS-Basiswert: 9.8 (Kritisch).

GPT-SoVITS-WebUI ist eine Weboberfläche für Sprachkonvertierung und Text-to-Speech. In Version 20250228v3 und früher besteht in inference_webui.py eine unsichere Deserialisierung: Die Variable GPT_dropdown übernimmt Benutzereingaben und reicht sie an die Funktion change_gpt_weights weiter, wo der übergebene Pfad über torch.load ein Modell lädt. Zum Veröffentlichungszeitpunkt war keine gepatchte Version verfügbar. CVSS-Basiswert: 9.8 (Kritisch).

GPT-SoVITS-WebUI ist eine WebUI für Sprachkonvertierung und Text-to-Speech. In Version 20250228v3 und früher besteht in process_ckpt.py eine unsichere Deserialisierung: Die Variable SoVITS_dropdown übernimmt Benutzereingaben und lädt über load_sovits_new mit torch.load ein Modell, was zu unsicherer Deserialisierung führt. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung war keine gepatchte Version verfügbar.

In Retrieval-based-Voice-Conversion-WebUI, einem auf VITS basierenden Framework zur Stimmenveränderung, besteht eine Command-Injection-Schwachstelle. Die Variablen exp_dir1, np7, trainset_dir4 und sr2 übernehmen Nutzereingaben und geben sie an die Funktion preprocess_dataset weiter, die sie zu einem auf dem Server ausgeführten Befehl zusammensetzt. Betroffen sind Version 2.2.231006 und früher; zum Zeitpunkt der Veröffentlichung war kein Patch verfügbar. CVSS-Basiswert: 9.8 (Kritisch).

In Retrieval-based-Voice-Conversion-WebUI (Versionen 2.2.231006 und früher) besteht eine Command-Injection-Schwachstelle. Die Variablen exp_dir1, np7 und f0method8 übernehmen Benutzereingaben und werden in der Funktion extract_f0_feature zu einem serverseitig ausgeführten Befehl zusammengesetzt, was zur Ausführung beliebiger Befehle führen kann. Zum Zeitpunkt der Veröffentlichung existiert kein Patch. CVSS-Basiswert: 9.8 (Kritisch).

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmveränderung. In Version 2.2.231006 und früher besteht eine Code-Injection-Schwachstelle. Eine benutzergesteuerte Pfad-Eingabe wird an die Funktion change_info_ übergeben, deren Dateiinhalt an eval weitergereicht wird, was zu Remote Code Execution führen kann. Zum Zeitpunkt der Veröffentlichung ist kein Patch bekannt. CVSS-Basiswert: 9.8 (Kritisch).

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmenveränderung. Version 2.2.231006 und früher sind anfällig für unsichere Deserialisierung: Die Variable ckpt_path1 übernimmt Benutzereingaben und reicht sie an die Funktion show_info in process_ckpt.py weiter, die das Modell über torch.load lädt. Dies kann zu Remote Code Execution führen. Zum Veröffentlichungszeitpunkt existierte kein Patch. CVSS-Basiswert: 9.8 (Kritisch).

In Retrieval-based-Voice-Conversion-WebUI bis einschliesslich Version 2.2.231006 werden benutzergesteuerte Variablen wie exp_dir1 an die Funktion click_train übergeben und dort zu einem Serverbefehl zusammengesetzt. Dies ermöglicht die Ausführung beliebiger Befehle auf dem Server. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung war kein Patch verfügbar.

Das Retrieval-based-Voice-Conversion-WebUI ist in Version 2.2.231006 und früher anfällig für unsichere Deserialisierung. Die Variable ckpt_path0 übernimmt Benutzereingaben (etwa einen Pfad zu einem Modell) und lädt das Modell über torch.load, was zu unsicherer Deserialisierung und Remote-Code-Ausführung führen kann. Zum Zeitpunkt der Veröffentlichung existierte kein bekannter Patch. CVSS-Basiswert: 9.8 (Kritisch).

Das VITS-basierte Framework Retrieval-based-Voice-Conversion-WebUI ist in den Versionen 2.2.231006 und früher für unsichere Deserialisierung anfällig. Die Variablen ckpt_a und cpkt_b übernehmen Benutzereingaben, etwa einen Pfad zu einem Modell, und übergeben sie an die merge-Funktion in process_ckpt.py, die die Modelle mit torch.load lädt. Dies kann zu unsicherer Deserialisierung und Remote-Code-Ausführung führen. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung sind keine Korrekturen bekannt.

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmveränderung. Versionen 2.2.231006 und früher sind anfällig für unsichere Deserialisierung: Die Variable ckpt_path2 übernimmt Benutzereingaben und lädt über die Funktion extract_small_model in process_ckpt.py mit torch.load das Modell, was zu unsicherer Deserialisierung und Remote Code Execution führen kann. CVSS-Basiswert: 9.8 (Kritisch). Zum Zeitpunkt der Veröffentlichung existierte kein Patch.

Retrieval-based-Voice-Conversion-WebUI ist ein auf VITS basierendes Framework zur Stimmenveränderung. In den Versionen 2.2.231006 und älter besteht eine Schwachstelle durch unsichere Deserialisierung. Die Variable model_choose übernimmt eine Benutzereingabe (etwa einen Pfad zu einem Modell) und reicht sie an die Funktion uvr in vr.py weiter, wo der Pfad über torch.load geladen wird. Dies kann zu unsicherer Deserialisierung und damit zur Ausführung von Schadcode aus der Ferne führen. Zum Zeitpunkt der Veröffentlichung waren keine Patches bekannt. CVSS-Basiswert: 9.8 (Kritisch).

Retrieval-based-Voice-Conversion-WebUI ist in Versionen 2.2.231006 und älter für unsichere Deserialisierung anfällig. Eine benutzergesteuerte Eingabe (Pfad zu einem Modell) wird an die uvr-Funktion übergeben und über torch.load geladen, was zu unsicherer Deserialisierung und Remote Code Execution führen kann. Zum Zeitpunkt der Veröffentlichung war laut Quelle kein Patch bekannt. CVSS-Basiswert: 9.8 (Kritisch).

Retrieval-based-Voice-Conversion-WebUI, ein auf VITS basierendes Framework zur Stimmveränderung, ist in Version 2.2.231006 und früher für eine unsichere Deserialisierung anfällig. Die Variable ckpt_dir nimmt Benutzereingaben entgegen und übergibt sie an die Funktion change_info in export.py, die das Modell mit torch.load lädt, was zu unsicherer Deserialisierung und Remote-Code-Execution führen kann. Zum Zeitpunkt der Veröffentlichung existierte kein Patch. CVSS-Basiswert: 9.8 (Kritisch).

In automatic1111/stable-diffusion-webui Version 1.10.0 besteht eine Cross-Site-WebSocket-Hijacking-Schwachstelle (CSWSH). Da WebSocket-Verbindungen zum Endpunkt ws://127.0.0.1:7860/queue/join nicht ausreichend validiert werden, kann ein Angreifer unautorisierte Aktionen auf dem Server auslösen. Dazu zählen das unbefugte Klonen einer schädlichen Server-Erweiterung aus einem GitHub-Repository, das Ausführen schädlicher Skripte, Datenabfluss sowie ein möglicher Denial of Service. CVSS-Basiswert: 9.6 (Kritisch).

In open-webui/open-webui bis einschliesslich Version 0.3.8 besteht eine XSS-Schwachstelle in der Funktion, die das HTML für Tooltips erzeugt. Angreifer können damit Aktionen mit den Rechten des Opfers ausführen, etwa den Chat-Verlauf stehlen, Chats löschen oder das eigene Konto zum Admin hochstufen, sofern das Opfer Admin ist. CVSS-Basiswert: 9.0 (Kritisch).

Im Modul open_file von parisneo/lollms-webui (Version 9.5) besteht eine Schwachstelle zur Remote Code Execution durch unzureichende Neutralisierung von Sonderzeichen in einem Kommando. Über einen präparierten Dateipfad kann ein Angreifer beliebige Systembefehle ausführen oder sensible Dateiinhalte lesen; Ursache ist der unsichere Einsatz von subprocess.Popen ohne ausreichende Validierung der benutzerseitig übergebenen Pfade. CVSS-Basiswert: 9.8 (Kritisch).

In der Funktion delete_discussion() der Anwendung parisneo/lollms-webui besteht eine SQL-Injection-Schwachstelle, über die ein Angreifer sämtliche Diskussions- und Nachrichtendaten löschen kann. Sie ist über eine gestaltete HTTP-POST-Anfrage an den Endpunkt /delete_discussion ausnutzbar: Mit einer präparierten Payload im Parameter id lassen sich alle Datensätze der Tabellen discussion und message löschen. Ursache ist die unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl. CVSS-Basiswert: 9.8 (Kritisch).

WLAN-Router und Access Points von ELECOM enthalten laut NVD eine OS-Command-Injection-Schwachstelle im WebUI. Wird die Schwachstelle ausgenutzt, kann ein Angreifer beliebige Betriebssystembefehle auf dem Gerät ausführen. CVSS-Basiswert: 7.2 (Hoch).

In Open WebUI Version 0.3.8 ist der Endpunkt /api/pipelines/upload verwundbar für beliebiges Schreiben und Löschen von Dateien, da file.filename ungeprüft mit CACHE_DIR verkettet wird. Angreifer können dadurch Systemdateien überschreiben oder löschen, was potenziell zu Remote Code Execution führt. CVSS-Basiswert: 7.2 (Hoch).

Hermes WebUI vor Version 0.51.311 enthält laut NVD eine Schwachstelle zur Remote Code Execution, über die authentifizierte Angreifer beliebige Befehle ausführen können, indem sie eine bösartige, ausführbare Git-Konfiguration platzieren. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten ausnutzbar. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: auf Hermes WebUI 0.51.311 oder neuer aktualisieren.

In open-webui/open-webui Version 0.3.8 besteht ein gespeichertes Cross-Site-Scripting am Endpunkt /api/v1/models/add, bei dem das Feld für die Modellbeschreibung vor der Darstellung im Chat nicht ausreichend bereinigt wird. Ein Angreifer kann darüber bösartige Skripte einschleusen, die von beliebigen Benutzern – einschliesslich Administratoren – ausgeführt werden können, was potenziell zur Ausführung beliebigen Codes führt. CVSS-Basiswert: 8.4 (Hoch).

In Version 0.3.32 von open-webui/open-webui fehlt eine Authentifizierung für den Endpoint api/v1/utils/code/format, wodurch jeder nicht authentifizierte Angreifer darauf zugreifen kann. Sendet ein Angreifer eine POST-Anfrage mit übermässig grossem Inhalt, kann der Server vollständig nicht mehr reagieren. Dies kann zu erheblichen Performance-Problemen bis hin zu Serviceunterbrechungen für legitime Nutzer führen. CVSS-Basiswert: 7.5 (Hoch, Auswirkung auf Verfügbarkeit).

In Open WebUI (Version v0.3.32) fehlt beim Anmeldevorgang eine Längenprüfung für die Felder E-Mail und Passwort, wodurch Nutzer beliebig grosse Payloads übermitteln können. Das Einreichen übermässig langer Zeichenketten kann zu einem Denial of Service führen, indem Serverressourcen wie CPU, Arbeitsspeicher und Festplattenspeicher erschöpft werden. Der Dienst wird dadurch für legitime Nutzer nicht mehr verfügbar; der Angriff erfordert keine Authentifizierung. CVSS-Basiswert: 7.5 (Hoch).

In open-webui/open-webui v0.3.8 kann laut NVD ein nicht authentifizierter Angreifer sich mit übermässig langem Text im Feld „name“ registrieren, wodurch das Admin-Panel nicht mehr reagiert. Administratoren können dadurch keine Nutzerverwaltung (Löschen, Bearbeiten, Anlegen) mehr durchführen. Die Schwachstelle ist auch durch authentifizierte Nutzer mit geringen Rechten ausnutzbar. CVSS-Basiswert: 7.5 (Hoch).

Hermes WebUI enthält vor Version 0.51.296 eine Schwachstelle, die es authentifizierten Angreifern erlaubt, durch einen vorzeitigen Rücksprung (Early Return) in der Prüfung gesperrter Root-Pfade die Workspace-Grenzen zu umgehen. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Open WebUI ist eine selbst gehostete KI-Plattform. In den Versionen 0.9.0 bis 0.11.0 gewährt der iframe-Zweig der Terminal-Datei-Vorschau (serveUrl) durchgehend allow-same-origin. Weitere Details zu den daraus resultierenden Auswirkungen liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 8.2 (Hoch). Angaben zur Ausnutzungswahrscheinlichkeit (EPSS) liegen nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Quark Drive vor Version 0.8.5 enthält eine Mass-Assignment-Schwachstelle im Endpunkt POST /update, über die authentifizierte Angreifer Administrator-Zugangsdaten überschreiben können. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Quark Drive 0.8.5 oder neuer aktualisieren.

Open WebUI ist ein erweiterbares, selbst gehostetes KI-Plattform-Frontend. In den Versionen 0.8.0 bis vor 0.11.0 akzeptiert der Endpunkt /oauth/{provider}/token/exchange bei aktivierter Einstellung ENABLE_OAUTH_TOKEN_EXCHANGE einen vom Client übergebenen Rohwert (Detail in der Quelle abgeschnitten). Laut CVSS-Vektor ist eine Nutzerinteraktion erforderlich. CVSS-Basiswert: 8.1 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In der selbst gehosteten KI-Plattform Open WebUI fehlt im Handler für DELETE /api/v1/folders/{id} (backend/open_webui/routers/folders.py) in den Versionen 0.10.0 bis vor 0.11.0 laut Quellbeschreibung eine Autorisierungsprüfung; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 8.1 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Open WebUI ist eine selbst gehostete, funktionsreiche KI-Plattform. In den Versionen 0.10.0 bis 0.11.0 kann die Komponente KatexRenderer.svelte unter src/lib/components/chat/Messages/Markdown/ zum Speichern und Rendern schädlicher Inhalte missbraucht werden. CVSS-Basiswert: 8.7 (Hoch). Die Zuordnung weist neben Open WebUI zusätzlich Rocket.Chat als betroffenes Produkt aus. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Version 0.11.0 oder neuer aktualisieren.

In Open WebUI validiert der Playwright-Web-Loader (aktiv bei WEB_LOADER_ENGINE=playwright) in den Versionen 0.9.6 bis vor 0.11.0 laut Quellbeschreibung nur die oberste Domain-Ebene; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 7.7 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Open WebUI ist eine selbst gehostete KI-Plattform. In den Versionen 0.9.0 bis 0.11.0 prüft Open WebUI, ob eine nutzerseitig angegebene Ziel-URL global routingfähig ist; die dabei angewandte Prüfmethode ist laut Quelle unzureichend. Weitere Details zu den daraus resultierenden Auswirkungen liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 7.1 (Hoch). Angaben zur Ausnutzungswahrscheinlichkeit (EPSS) liegen nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebUI-Komponente von Google Chrome erlaubt es einem entfernten Angreifer, über bösartigen Netzwerkverkehr potenziell einen Sandbox-Ausbruch durchzuführen. Betroffen sind Chrome-Versionen vor 151.0.7922.72. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Open WebUI vor Version 0.9.5 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (Stored XSS) im OAuth-Authentifizierungsablauf. Der MIME-Typ der picture-claim-URL wird anhand der Dateiendung statt anhand des Content-Type bestimmt, wodurch sich schädlicher Inhalt einschleusen lässt. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Open WebUI 0.9.5 oder neuer aktualisieren.

Open WebUI vor Version 0.3.14 enthält eine fehlerhafte CORS-Konfiguration: In Verbindung mit allow_origins=* können beliebige Ursprünge authentifizierte Anfragen an den Endpunkt /api/v1/functions stellen. Dadurch lassen sich über das Netzwerk Vertraulichkeit, Integrität und Verfügbarkeit gefährden. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Open WebUI 0.3.14 oder neuer.

In der selbst gehosteten KI-Plattform Open WebUI baute backend/open_webui/routers/terminals.py die Upstream-URL für ws_terminal aus einer nicht kodierten session_id und hängte user_id als Query-Parameter an. Über eine Query-Injection kann das Terminal-Backend so eine fremde Benutzeridentität auflösen; zusätzlich reichte der HTTP-Proxy-Pfad den Header X-User-Id als nicht abgesicherten Identitätsnachweis weiter. Betroffen sind Versionen vor 0.10.0. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: auf Version 0.10.0 oder neuer aktualisieren.

Open WebUI liefert in get_event_call die Socket.IO-Events execute:python und execute:tool an eine vom Client angegebene session_id aus, wobei nur geprüft wird, ob die Session verbunden ist. Vor Version 0.10.0 können authentifizierte Nutzer, die eine fremde Socket-ID über ydoc:document:join in Erfahrung bringen, dadurch Python-Code im Code-Interpreter oder Tools in der Sitzung eines anderen Nutzers ausführen. CVSS-Basiswert: 7.7 (Hoch). Zur Ausnutzungswahrscheinlichkeit (EPSS) liegen für diese Lücke keine Angaben vor. Empfohlene Massnahme: Update auf Version 0.10.0 oder höher.