PT-2026-110704 · Unknown · Open-Webui
CVSS v4.0
5.3
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Open WebUI الإصدارات من 0.9.6 إلى 0.11.3
Description
يوجد خلل في التصريح حيث لا تتحقق قائمة ملفات قاعدة المعرفة مما إذا كان
directory id المقدم ينتمي إلى قاعدة المعرفة المطلوبة. يمكن للمستخدمين الذين لديهم صلاحية القراءة لأي قاعدة معرفة تقديم UUID لدليل خارجي محفوظ إلى نقطة النهاية 'GET /api/v1/knowledge/{id}/files'. تؤدي مسارات التنقل (breadcrumbs) العائدة إلى كشف أسماء المجلدات، ومعرفات المستخدمين المالكين، ومعرفات قواعد المعرفة لذلك الدليل وجميع أسلافه.Recommendations
تحديث Open WebUI إلى الإصدار 0.11.4 أو أحدث.
استغلال
إصلاح
IDOR
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Open-Webui