BDU:2024-03923

Уязвимость функции download_file_stream() (backend/apps/web/routers/utils.py) веб-интерфейса на базе искуственного интеллекта Open WebUI (ранее Ollama WebUI), позволяющая нарушителю осуществить SSRF-атаку

Опубликовано: 2024-05-20

Описание

Уязвимость функции download_file_stream() (backend/apps/web/routers/utils.py) веб-интерфейса на базе искуственного интеллекта Open WebUI (ранее Ollama WebUI) связана с подделкой запросов на стороне сервера при обработке параметра url. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку

Затрагиваемое ПО и версии

Open WebUI (до 0.1.117)

Способ устранения

Использование рекомендаций:
https://github.com/open-webui/open-webui/releases/tag/v0.1.117

Оценка CVSS

Балл	7.5 — высокая опасность

Источники и патчи

https://github.com/open-webui/open-webui/security/advisories/GHSA-39wr-r5vm-3jxj https://securitylab.github.com/advisories/GHSL-2024-033_open-webui https://vuldb.com/pl/?id.260946

Проверьте безопасность своего сайта и почты → Полная проверка домена