PT-2026-28381
CVE-2026-28786
·
تاريخ النشر
2026-03-26
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Open WebUI الأقدم من 0.8.6
الوصف
Open WebUI هي منصة ذكاء اصطناعي ذاتية الاستضافة مصممة للعمل دون اتصال بالإنترنت. يوجد ثغرة في نقطة نهاية تحويل الكلام إلى نص، حيث يسمح حقل اسم الملف غير المُعقَّم لأي مستخدم مُصادق عليه، غير إداري، بتحفيز خطأ
FileNotFoundError. ثم يتم إرجاع رسالة الخطأ، بما في ذلك المسار المطلق لـ DATA DIR الخاص بالخادم، في نص استجابة HTTP 400، مما يؤدي إلى الكشف عن المعلومات في عمليات النشر الافتراضية. تنشأ المشكلة عن عدم تطهير المسار عند استخراج امتداد الملف من اسم الملف وتكوين مسار الملف. وعلى وجه التحديد، تُستخدم الدالة file.filename.split(”.“)[-1] دون أي تنقية، ويتم ربط القيمة الناتجة بمسار نظام الملفات. وهذا يسمح للمهاجم بصياغة اسم ملف يحتوي على تسلسلات لاجتياز الدلائل (على سبيل المثال، audio./etc/passwd) للكشف عن المسار المطلق للخادم. توجد هذه الثغرة الأمنية في الملف backend/open webui/routers/audio.py، في السطر 1197، وتحدث عند محاولة فتح ملف يحمل اسمًا ضارًّا. ولا يمنع حارس نوع MIME حدوث هذه المشكلة.التوصيات
يجب تحديث الإصدارات الأقدم من 0.8.6 إلى الإصدار 0.8.6 أو أحدث لمعالجة هذه المشكلة. كحل مؤقت، يُنصح بتنقية امتداد الملف باستخدام
Path(file.filename).name وإخفاء المسار الداخلي في استجابات الأخطاء. تقييد الوصول إلى ملفات الصوتقابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾