Open WebUI Seite 2

Open WebUI ist eine selbstgehostete KI-Plattform. In den Versionen 0.9.6 bis vor 0.10.0 dekodiert die Funktion _sanitize_proxy_path in backend/open_webui/routers/terminals.py Proxy-Pfade nur acht Mal, wodurch ein neunfach prozent-kodierter ../-Traversal-Wert die Normalisierungsprüfung umgeht und vom nachgelagerten Terminal-Server dekodiert wird. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 0.10.0.

Open WebUI führt clientseitig Python-Code mit Pyodide in einem same-origin Web Worker aus. Vor Version 0.10.0 können gespeicherte Chat-Payloads über pyodide.http.pyfetch oder die JavaScript-APIs fetch und XMLHttpRequest authentifizierte same-origin Anfragen auslösen, sobald ein Opfer auf „Run“ klickt. Dadurch lassen sich admin-only Endpunkte erreichen und über konfigurierte Tools serverseitiger Code ausführen. Das Problem ist in Version 0.10.0 behoben. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Version 0.10.0 oder neuer aktualisieren.

Open WebUI prüft bei Redis-Konfiguration in den Versionen 0.9.0 bis vor 0.10.0 bei Socket.IO-Verbindungen (connect, user-join, join-channels, join-note) sowie beim Terminal-WebSocket die erste Authentifizierungsnachricht nur über decode_token, ohne die Redis-gestützte is_valid_token-Sperrlistenprüfung durchzuführen. Dadurch können bereits widerrufene JWTs weiterhin für Echtzeitverbindungen genutzt werden. Behoben in Version 0.10.0. CVSS-Basiswert: 7.1 (Hoch).

Open WebUI lässt vor Version 0.9.6 zu, dass ein authentifizierter Nutzer beliebige file_id-Werte an eine eigene Chat-Nachricht anhängt, ohne dass geprüft wird, ob er die betreffende Datei besitzt oder lesen darf. Teilt der Angreifer diesen Chat und gewährt sich selbst Lesezugriff, behandelt die Funktion has_access_to_file() die fremde Datei als über den geteilten Chat zugänglich, sodass die Datei-Endpunkte sie lesen oder löschen können. Betroffen ist das Produkt Open WebUI. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.6 (bzw. die angegebene korrigierte Version) einspielen.

Open WebUI ist eine selbst gehostete KI-Plattform. Vor Version 0.9.6 rendert Open WebUI Mermaid-Blöcke aus Markdown-Dateien im Datei-Vorschaufenster und fügt das erzeugte SVG per innerHTML in das DOM ein. Da Mermaid mit securityLevel loose konfiguriert ist, kann von Angreifern kontrollierter Mermaid-Inhalt unsicher gerendert werden und JavaScript im Browser des Opfers unter dem Anwendungsursprung ausführen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.9.6.

In Open WebUI vor Version 0.9.6 prüft die Funktion validate_url im SafePlaywrightURLLoader nur die IP-Adresse der ursprünglich angegebenen URL. Da Playwright HTTP-Redirects (301/302) automatisch folgt, kann ein Angreifer mit einer zunächst unbedenklichen URL, die auf ein internes Netz (z. B. localhost, Docker-Container-Netzwerk oder Cloud-Metadaten-Dienst) umleitet, die SSRF-Prüfung umgehen. Dadurch sind interne Dienste erreichbar, selbst wenn ENABLE_RAG_LOCAL_WEB_FETCH auf False gesetzt ist. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Auf Version 0.9.6 oder neuer aktualisieren.

Open WebUI hat gespeicherte SVG-XSS in Profilbildern von Nutzern und Webhooks bereits behoben, die gleiche Korrektur jedoch nicht auf Modell-Profilbilder angewendet. Da die Klasse ModelMeta über keinen Validator für die Profilbild-URL verfügt und der Bild-Endpunkt weder eine MIME-Allowlist noch einen nosniff-Header setzt, kann jeder authentifizierte Nutzer mit der standardmässig aktivierten Berechtigung workspace.models ein Modell-Profilbild mit einer data:image/svg+xml;base64-Payload versehen. Wer die Bild-URL aufruft, ist von einer vollständigen Account-Übernahme betroffen. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.6 oder höher.

Open WebUI ist eine selbst gehostete KI-Plattform für den vollständig Offline-Betrieb. Vor Version 0.9.6 kann ein Nutzer, der Workspace-Modelle erstellen, aktualisieren oder importieren darf, beliebige meta.knowledge-Einträge an einem Modell hinterlegen, ohne dass geprüft wird, ob er die referenzierten Dateien besitzt oder lesen darf. Sowohl das eingebaute Tool view_file als auch die Autorisierungslogik has_access_to_file() vertrauen diesen Einträgen, sodass ein bösartiger Modell-Besitzer die Datei-ID eines anderen Nutzers an seine Modell-Metadaten anhängen und die fremde private Datei lesen oder löschen kann. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.6.

Open WebUI ist eine selbstgehostete KI-Plattform. Vor Version 0.9.6 begrenzt der Terminal-Server-Reverse-Proxy in backend/open_webui/routers/terminals.py den nutzerkontrollierten path-Parameter nicht vollständig, bevor dieser an einen admin-konfigurierten Terminal-Server weitergeleitet wird. Ein authentifizierter Nutzer mit Zugriff auf einen Terminal-Server kann kodierte ../-Traversal-Sequenzen einsetzen, um den vorgesehenen Pfad- bzw. Policy-Bereich zu verlassen und auf nicht vorgesehene Endpunkte und Dateien auf dem Terminal-Server-Host zuzugreifen; leitet der Terminal-Server Anfragen an interne Dienste weiter, entsteht zusätzlich eine SSRF-artige Angriffsfläche. Laut Quelle handelt es sich um einen eigenständigen Codepfad neben der SSRF-Lücke GHSA-c6xv-rcvw-v685, zudem umgeht ein doppelt kodierter Traversal-Wert (%252e%252e) die zwischenzeitlich eingeführte Gegenmassnahme _sanitize_proxy_path. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.6.

In Open WebUI vor Version 0.9.0 verwenden die Schlüssel tool_servers und terminal_servers in utils/tools.py kein Präfix. Teilen sich zwei oder mehr Open-WebUI-Instanzen eine Redis-Datenbank, kollidieren die unpräfixierten Schlüssel: Ein Admin auf Instanz A überschreibt den von Instanz B gelesenen Wert, sodass die Nutzer von Instanz B die Tool-Server-Konfiguration von Instanz A erhalten. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Open WebUI 0.9.0 oder neuer.

In Open WebUI vor Version 0.9.0 werden bei administrativen Rollenänderungen und Nutzerlöschungen die betroffenen Sitzungen im SESSION_POOL nicht getrennt. Dadurch behält ein Nutzer, dem die Admin-Rolle entzogen wurde, seine Admin-Rechte innerhalb der bestehenden Socket.IO-Sitzung, solange er die Verbindung über automatische Heartbeats aktiv hält. Die Lücke beschraenkt sich auf den Socket.IO-Sitzungs-Cache. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Open WebUI 0.9.0.

Open WebUI akzeptiert vor Version 0.9.0 am Endpunkt POST /api/v1/retrieval/process/web einen benutzergesteuerten collection_name sowie einen overwrite-Parameter (Standard: True), ohne zu prüfen, ob der aufrufende Benutzer Schreibrechte auf die Zielsammlung besitzt. Bei overwrite=True wird die Zielsammlung vor dem Schreiben neuer Inhalte gelöscht. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Auf Open WebUI 0.9.0 oder neuer aktualisieren.

Open WebUI ist eine selbst gehostete KI-Plattform. Vor Version 0.9.3 übernimmt der Upload-Endpunkt für Audio-Transkriptionen die Dateiendung aus dem vom Benutzer gelieferten Dateinamen und liefert die Datei später über die /cache/{path}-Route mit einem daraus abgeleiteten Content-Type und ohne Content-Disposition aus. Ein Benutzer mit der standardmässig aktiven chat.stt-Berechtigung kann so eine Polyglot-Datei (WAV und HTML) etwa als pwn.html hochladen; ruft ein anderer Benutzer die URL auf, wird sie als text/html interpretiert und eingebettetes Script läuft im Ursprung von Open WebUI (Stored Cross-Site-Scripting). CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf Open WebUI 0.9.3.

In Open WebUI vor Version 0.9.0 ruft die Funktion validate_url() in backend/open_webui/retrieval/web/utils.py die Prüfung validators.ipv6 mit dem Parameter private auf, den die validators-Bibliothek für IPv6 jedoch nicht umsetzt. Der Aufruf löst einen Fehler aus, der als falsch gewertet wird, sodass jede IPv6-Adresse den Filter passiert. Zusätzlich umgehen IPv4-in-IPv6-Adressen die IPv4-Prüfung, und mehrere reservierte IPv4-Bereiche werden nicht blockiert. Der Fehler ist in Version 0.9.0 behoben. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Open WebUI 0.9.0 oder neuer.

In Open WebUI vor Version 0.9.5 führt ein Auswertungsunterschied zwischen den Bibliotheken urlparse und requests zu einer Umgehung des SSRF-Schutzes. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Open WebUI 0.9.5 oder neuer.

Open WebUI ist eine selbst gehostete KI-Plattform. Vor Version 0.9.5 akzeptieren mehrere Endpunkte eine vom Benutzer angegebene file_id und hängen die referenzierte Datei an eine vom Aufrufer kontrollierte Ressource an, ohne zu prüfen, ob dieser Zugriff auf die Datei hat. Dadurch kann jeder authentifizierte Benutzer bei Kenntnis der Datei-UUID fremde private Dateien exfiltrieren und über den Knowledge-Base-Pfad auch überschreiben. Die Schwachstelle ist in Version 0.9.5 behoben. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.5.

In Open WebUI vor Version 0.8.0 besteht eine Stored-Cross-Site-Scripting-Schwachstelle in der Banner-Komponente, weil die Bereinigung in falscher Reihenfolge erfolgt (DOMPurify läuft vor der marked-Bibliothek). Ein kompromittierter oder bösartiger Administrator kann eine Schadnutzlast im globalen Banner platzieren, die allen Nutzern einschliesslich des Super-Admins ausgeliefert wird, was eine Rechteausweitung und den Diebstahl der Super-Admin-Sitzung ermöglicht. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Open WebUI ist eine selbst gehostete KI-Plattform für den vollständig offline-Betrieb. Vor Version 0.8.12 führt der Endpunkt /api/v1/utils/code/execute für jeden verifizierten Benutzer beliebigen Python-Code über Jupyter aus, selbst wenn der Administrator ENABLE_CODE_EXECUTION=false gesetzt hat. Die Feature-Sperre wird am API-Endpunkt nicht durchgesetzt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 0.8.12.

Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden kann. In Versionen vor 0.9.0 verwenden die LDAP- und OAuth-Authentifizierungsflows ein TOCTOU-Muster (Time-of-Check-Time-of-Use) bei der Vergabe der Admin-Rolle an den ersten Benutzer. Während der reguläre Signup-Handler bereits gegen dieses Race abgesichert wurde, blieben die LDAP- und OAuth-Codepfade ungepatcht. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.9.0.

Open WebUI ist eine selbst gehostete KI-Plattform für den vollständigen Offline-Betrieb. Vor Version 0.6.19 waren die Autorisierungskontrollen der Memories-API inkonsistent: Ein Standardbenutzer konnte Memories anderer Benutzer über den Endpunkt POST /api/v1/memories/query einsehen und über DELETE /api/v1/memories/{memory_id} löschen; gelöschte Memories liessen sich über den Update-Endpunkt wiederherstellen, der bei bekannter memory_id zudem Inhalte fremder Memories preisgab. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: auf Version 0.6.19 aktualisieren.

In Open WebUI, einer selbst gehosteten KI-Plattform für den Offline-Betrieb, kann vor Version 0.9.0 jeder authentifizierte Benutzer Dateien anderer Benutzer dauerhaft löschen (über DELETE /api/v1/files/{id}), sobald die Zieldatei in einem geteilten Chat referenziert ist. Die Autorisierungsprüfung has_access_to_file() gewährt über den Shared-Chat-Zweig bedingungslos Zugriff und prüft weder die Identität des anfragenden Benutzers noch die Art der Operation. Die ansonsten schwer zu erratenden Datei-UUIDs werden zudem jedem Benutzer mit Lesezugriff auf eine Knowledge Base offengelegt. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.9.0, in der die Lücke behoben ist.

In Open WebUI vor Version 0.6.5 können über die HTML-Rendering-Ansicht Skripte eingeschleust und ausgeführt werden. Der Chat-Inhalt wird zwar in einem iFrame mit der Sandbox-Direktive allow-scripts allow-forms allow-same-origin dargestellt, wodurch der Zugriff auf übergeordnete Daten wie den lokalen Speicher jedoch möglich bleibt und die Sandbox faktisch wirkungslos wird. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Auf Version 0.6.5 oder neuer aktualisieren.

In Open WebUI vor Version 0.9.0 besteht in der Funktion _process_picture_url() (backend/open_webui/utils/oauth.py) eine Server-Side-Request-Forgery-Schwachstelle (SSRF). Die Funktion ruft beliebige URLs aus OAuth-Picture-Claims ab, ohne validate_url() anzuwenden. Ein Angreifer kann den Server dadurch zwingen, HTTP-Anfragen an interne Ressourcen zu stellen und die vollständige Antwort zu exfiltrieren. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.0.

Open WebUI prüft in _validate_collection_access() die Präfixe user-memory-* und file-*, nicht jedoch Knowledge-Base-Collections, die als rohe UUIDs benannt sind. Ein authentifizierter Angreifer, der die UUID einer fremden privaten Knowledge Base kennt, kann deren Inhalt über die Retrieval-Query-Endpunkte auslesen, obwohl die Knowledge-API den Zugriff korrekt verweigert. Dieselbe Lücke betrifft die Retrieval-Schreib-Endpunkte (/process/text, /process/file, /process/files/batch, /process/web, /process/youtube), wodurch ein Angreifer Inhalte in eine fremde Knowledge Base einschleusen oder diese überschreiben kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor. Empfohlene Massnahme: Update auf Open WebUI 0.9.5.

Open WebUI, eine selbst gehostete und vollständig offline betreibbare KI-Plattform, zeigt vor Version 0.8.0 laut NVD Excel-Dateianhänge auf unsichere Weise an. Ein präparierter XLSX-Datei-Payload kann über die SheetJS-Funktion sheet_to_html einen XSS-Payload in das generierte HTML einbetten, der anschliessend unsanitisiert über @html in das DOM eingefügt und ausgelöst wird. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Version 0.8.0 aktualisieren, in der die Schwachstelle behoben ist.

Open WebUI, eine offline betreibbare KI-Plattform, erlaubt vor Version 0.9.0 jedem authentifizierten Benutzer mit der Berechtigung workspace.models über ein manipuliertes Modell gespeichertes Cross-Site-Scripting auszuführen, das im Browser anderer Benutzer inklusive Administratoren ausgeführt wird. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.0 oder neuer.

Open WebUI ist eine selbst gehostete KI-Plattform für den Offline-Betrieb. Vor Version 0.9.5 fehlt beim Endpunkt POST /api/v1/tools/id/{id}/update die Berechtigungsprüfung workspace.tools, die beim Erstellen von Tools vorhanden ist. Dadurch kann ein Benutzer, dem die Tool-Verwaltung explizit verweigert wurde und der als nicht vertrauenswürdig für Code-Ausführung gilt, den serverseitigen Python-Code eines Tools ersetzen und zur Ausführung bringen und so die vorgesehene Sicherheitsgrenze umgehen. Die Lücke ist ab Version 0.9.5 behoben. CVSS-Basiswert: 7.2 (Hoch).

Open WebUI ist eine selbst gehostete KI-Plattform für den vollständigen Offline-Betrieb. Vor Version 0.6.19 besteht im Nachrichtenmanagement der Channels eine IDOR-Schwachstelle: Authentifizierte Nutzer mit Lesezugriff auf einen Channel können darin beliebige Nachrichten verändern oder löschen. Die Update- und Delete-Endpunkte prüfen zwar die Channel-Berechtigung, validieren aber nicht, ob die Nachricht dem anfragenden Nutzer gehört, sodass sich die im Frontend vorhandene Eigentümerprüfung über direkte API-Aufrufe umgehen lässt. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 0.6.19.

In Open WebUI vor Version 0.9.0 prüft der /responses-Endpunkt des OpenAI-Routers im Gegensatz zum regulären Chat-Completion-Endpunkt keine Modell-Zugehörigkeit, Gruppenmitgliedschaft oder AccessGrants, sondern lediglich, ob eine gültige Session vorliegt. Dadurch kann jeder authentifizierte Benutzer über einen POST-Request an /api/openai/responses mit beliebiger Modell-ID auf jedes auf der Instanz konfigurierte Modell zugreifen, wodurch Anfragen ungeprüft an vorgelagerte LLM-Provider weitergeleitet werden. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Auf Version 0.9.0 aktualisieren, dort ist die Schwachstelle behoben.

Open WebUI ist eine selbst gehostete KI-Plattform für den vollständig Offline-Betrieb. Vor Version 0.9.0 genügt einem Nutzer der eigene, in Open WebUI generierte API-Schlüssel zusammen mit der Chat-ID eines anderen Nutzers, um über den Endpunkt /api/chat/completions dessen Konversation fortzusetzen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 0.9.0.

Open WebUI verarbeitet vor Version 0.8.6 in der Chat-Completion-API die vom Nutzer übergebenen Parameter tool_ids und tool_servers ohne Berechtigungsprüfung. Die Middleware erzeugt daraus ein tools_dict und ruft über get_tool_by_id das entsprechende Tool auf, ohne zu prüfen, ob der Nutzer zur Verwendung berechtigt ist. Da dabei das serverseitig gespeicherte Authentifizierungs-Token verwendet wird, lässt sich ein beliebiges Server-Tool mit Serverrechten aufrufen. Behoben in Version 0.8.6. CVSS-Basiswert: 7.1 (Hoch).

In Open WebUI vor Version 0.9.0 kann jeder authentifizierte Benutzer unabhängig von seinen Rechten über GET /api/tasks aktive Hintergrund-Tasks des gesamten Systems einsehen und über POST /api/tasks/stop/{task_id} Tasks anderer Benutzer beenden. Dadurch kann ein einzelner, niedrig privilegierter Nutzer durch fortlaufendes Abbrechen fremder Tasks die Chat-Nutzung für das gesamte System stören. Betroffen sind Integrität und Verfügbarkeit in Multi-User-Installationen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Auf Version 0.9.0 aktualisieren, dort ist die Schwachstelle behoben.

In Open WebUI besteht vor Version 0.8.11 eine fehlerhafte Zugriffskontrolle (Broken Access Control) im Umgang mit Tool-Werten. Weitere technische Details zur konkreten Ausnutzung liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.7 (Hoch). Zur Ausnutzungswahrscheinlichkeit (EPSS) liegen für diese Lücke keine Angaben vor. Empfohlene Massnahme: Update auf Version 0.8.11.

In Open WebUI vor Version 0.8.6 fehlt beim Endpunkt POST /api/v1/retrieval/process/files/batch eine Ownership-Prüfung, sodass jeder authentifizierte Benutzer den Inhalt beliebiger Dateien anhand ihrer ID überschreiben kann. Ein Benutzer mit Lesezugriff auf eine geteilte Knowledge-Base kann sich über GET /api/v1/knowledge/{id}/files die zugehörigen Datei-UUIDs beschaffen und so von Lese- auf Schreibrechte eskalieren. Da der überschriebene Inhalt per RAG an das LLM ausgespielt wird, kann ein Angreifer damit beeinflussen, was das Modell anderen Benutzern mitteilt. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Auf Version 0.8.6 aktualisieren, dort ist die Schwachstelle behoben.

Open WebUI ist eine selbstgehostete KI-Plattform für den vollständig offline nutzbaren Betrieb. Vor Version 0.7.0 lässt sich durch manuelles Verändern des Chat-Verlaufs die Eigenschaft html in den Dokumentmetadaten setzen. Dadurch behandelt das Frontend die Dokumentinhalte als HTML und rendert sie beim Vorschauen der Zitation in einem iFrame, was gespeichertes XSS über eine präparierte Dokument-Payload in einem Chat ermöglicht. Die Payload wird auch beim Ansehen eines geteilten Chats ausgeführt. Version 0.7.0 behebt das Problem. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Version 0.7.0 oder neuer aktualisieren.

Open WebUI erlaubt vor Version 0.6.44 laut NVD durch manuelles Verändern des Chatverlaufs, die Eigenschaft embeds einer Antwortnachricht zu setzen. Deren Inhalt wird in ein iFrame geladen, dessen Sandbox allow-scripts und allow-same-origin gesetzt hat, wodurch die Konfiguration „iframe Sandbox Allow Same Origin“ ignoriert wird. Dies ermöglicht gespeichertes XSS im betroffenen Chat, auch im geteilten Format, sodass ein verteilbarer Link mit dem Payload an andere Nutzer der Instanz weitergegeben werden kann. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Version 0.6.44 aktualisieren, in der die Schwachstelle behoben ist.

In Open WebUI besteht eine Command-Injection-Schwachstelle in der Funktion load_tool_module_by_id. Die Ursache ist eine fehlende Validierung einer vom Benutzer bereitgestellten Zeichenkette, bevor diese zur Ausführung von Python-Code verwendet wird. Ein aus der Ferne angreifender, authentifizierter Nutzer kann dadurch beliebigen Code im Kontext des Dienstkontos ausführen. CVSS-Basiswert: 8.8 (Hoch).

In Open WebUI erlaubt eine unzureichende Validierung einer nutzergelieferten Zeichenkette in der Funktion install_frontmatter_requirements vor deren Verwendung in einem Systemaufruf einem authentifizierten, entfernten Angreifer die Ausführung von beliebigem Code im Kontext des Dienstkontos. CVSS-Basiswert: 8.8 (Hoch).

Open WebUI ist eine selbst gehostete KI-Plattform. Vor Version 0.6.37 erlaubt eine Server-Side-Request-Forgery-Schwachstelle jedem authentifizierten Benutzer, den Server zu HTTP-Anfragen an beliebige URLs zu zwingen. Dies lässt sich ausnutzen, um Cloud-Metadaten-Endpunkte (AWS/GCP/Azure) zu erreichen, interne Netze zu scannen, interne Dienste hinter Firewalls anzusprechen und sensible Informationen abzuziehen; ausser einer einfachen Authentifizierung sind keine besonderen Rechte nötig. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.6.37.

In Open WebUI vor Version 0.6.37 besteht eine gespeicherte Cross-Site-Scripting-Schwachstelle in der PDF-Download-Funktion der Notizen. Über eine importierte Markdown-Datei mit boesartigen SVG-Tags lässt sich beim PDF-Export beliebiger JavaScript-Code ausführen und Sitzungstoken lassen sich stehlen. Auch nicht authentifizierte Angreifer können durch das Teilen praeparierter Markdown-Dateien Sitzungstoken von Nutzern und Administratoren abgreifen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Update auf Open WebUI 0.6.37.

In Open WebUI (Versionen 0.6.34 und älter) ist die Funktion zum Einfügen eigener Prompts anfällig für DOM-basiertes Cross-Site-Scripting, wenn die Option Insert Prompt as Rich Text aktiviert ist, da der Prompt-Inhalt ohne Bereinigung per innerHTML in die Seite geschrieben wird. Jeder Benutzer mit Berechtigung zum Erstellen von Prompts kann so eine Nutzlast hinterlegen, die bei anderen Benutzern ausgelöst wird, wenn sie den entsprechenden Prompt einfügen. Die Korrektur ist in Version 0.6.35 enthalten. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: auf Open WebUI 0.6.35 oder neuer aktualisieren.

Open WebUI, eine selbst gehostete KI-Plattform für den Offline-Betrieb, enthält in Version 0.6.224 und früher eine Code-Injection-Schwachstelle in der Direct-Connections-Funktion. Bösartige externe Modell-Server können darüber über Server-Sent-Events (SSE-execute-Events) beliebigen JavaScript-Code im Browser des Opfers ausführen. Dies ermöglicht den Diebstahl von Authentifizierungs-Token und eine vollständige Kontoübernahme; in Kombination mit der Functions-API ist zudem Remote Code Execution auf dem Backend-Server möglich. Voraussetzung ist, dass Direct Connections aktiviert ist (standardmässig deaktiviert) und ein Administrator per Social Engineering zur Angabe der bösartigen Modell-URL bewegt wird. Das Problem ist ab Version 0.6.35 behoben. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.6.35 oder neuer.

In Open WebUI v0.3.8 erlaubt eine unzureichende Zugriffskontrolle Angreifern, beliebige Dateien einzusehen und zu löschen. Die Anwendung prüft nicht, ob der Angreifer Administrator ist, sodass über die GET-Schnittstelle /api/v1/files/ Informationen zu allen hochgeladenen Dateien inklusive ihrer IDs abgerufen und einzelne Dateien anschliessend gelesen oder gelöscht werden können. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald verfügbar.

In der Chat-Datei-Upload-Funktion von Open WebUI 0.3.8 besteht eine gespeicherte Cross-Site-Scripting-Schwachstelle (Stored XSS). Ein Angreifer kann schädlichen Inhalt in eine Datei einschleusen, der beim Zugriff durch ein Opfer über eine URL oder einen geteilten Chat JavaScript im Browser des Opfers ausführt. Dies kann zu Diebstahl von Nutzerdaten, Session-Hijacking, Verteilung von Schadsoftware und Phishing-Angriffen führen. CVSS-Basiswert: 8.9 (Hoch).

In Open WebUI bis einschliesslich Version 0.3.8 ermöglicht eine Cross-Site Request Forgery (CSRF) auch Nutzern ohne Administratorrechte eine Remotecodeausführung. Die Anwendung verwendet Cookies mit dem SameSite-Attribut lax zur Authentifizierung und verzichtet auf CSRF-Tokens, sodass eine präparierte HTML-Seite den Python-Code einer bestehenden Pipeline verändern und mit den Rechten des Opfers ausführen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine Version oberhalb 0.3.8 aktualisieren.

In open-webui Version v0.3.10 fehlt am Endpunkt api/v1/utils/pdf jede Authentifizierung, sodass nicht authentifizierte Angreifer den PDF-Generierungsdienst nutzen können. Durch eine POST-Anfrage mit übermässig grosser Nutzlast kann dies zu Ressourcenerschöpfung und Denial of Service führen; zudem lässt sich der Endpunkt zum unbefugten Erzeugen von PDFs missbrauchen. CVSS-Basiswert: 8.2 (Hoch).

Der Endpunkt /openai/models in open-webui/open-webui Version 0.3.8 ist anfällig für Server-Side Request Forgery (SSRF). Ein Angreifer kann die OpenAI-URL ohne Prüfung auf eine beliebige Adresse ändern, wodurch der Endpunkt eine Anfrage an diese Adresse sendet und die Antwort zurückgibt; dies ermöglicht Zugriff auf interne Dienste und potenziell die Ausführung von Code durch Zugriff auf Instanz-Secrets. CVSS-Basiswert: 7.7 (Hoch).

In Version 0.3.8 von Open WebUI ist ein Endpunkt zur Konvertierung von Markdown in HTML ohne Authentifizierung erreichbar. Ein böswillig gestaltetes Markdown-Dokument kann den Server dazu bringen, übermässig viel Zeit für die Konvertierung aufzuwenden, was zu einem Denial of Service führt. Der Server reagiert dabei bis zum Abschluss der Konvertierung nicht mehr auf andere Anfragen. CVSS-Basiswert: 7.5 (Hoch).

Version 1.10.0 von automatic1111/stable-diffusion-webui verarbeitet überzählige Zeichen am Ende von Multipart-Boundaries fehlerhaft. Ein Angreifer kann durch missgebildete Multipart-Requests mit beliebigen Zeichen am Boundary-Ende einen übermässigen Ressourcenverbrauch auslösen und damit einen vollständigen Denial of Service für alle Nutzer herbeiführen. Die Schwachstelle ist ohne Authentifizierung ausnutzbar, es ist keine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.5 (Hoch).

In Open WebUI Version 0.3.8 ist der Endpoint /models/upload anfällig für das Schreiben beliebiger Dateien, da vom Nutzer gelieferte Dateinamen nicht validiert werden. Die Anwendung baut den Zielpfad über file_path = f“{UPLOAD_DIR}/{file.filename}“ ohne Bereinigung auf, wodurch ein Angreifer per Directory-Traversal im Parameter file.filename aus dem vorgesehenen UPLOAD_DIR ausbrechen kann. Dadurch können Systembinaries, Konfigurationsdateien oder sensible Daten unautorisiert überschrieben werden, was potenziell Remote Command Execution ermöglicht. CVSS-Basiswert: 7.2 (Hoch).