PT-2026-50479
CVE-2026-54007
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Open WebUI الأقدم من 0.9.6
الوصف
يقوم مستمع رسائل الدردشة في نافذة صفحة الدردشة بمعالجة رسائل
input:prompt وaction:submit دون فرض قيود المنشأ نفسه. وهذا يسمح لموقع خارجي بتعيين نص المطالبة وتشغيل الدالة submitPrompt() في جلسة ضحية تمت مصادقتها. يمكن للمهاجم استخدام صفحة عبر الأصول لإرسال الرسائل تلقائيًا، مما يؤدي إلى طلبات غير مصرح بها إلى نقاط النهاية ’POST /api/v1/chats/new‘ و ’POST /api/chat/completions‘. وهذا يتيح تنفيذ إجراءات قسرية عبر المواقع وتنفيذ نماذج أو أدوات بموجب امتيازات الضحية دون موافقتها.التوصيات
التحديث إلى الإصدار 0.9.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾