CVE-2026-54010

إصدارات Open WebUI الأقدم من 0.9.6

يمكن للمستخدم المصادق عليه إرفاق قيم file id عشوائية برسائل الدردشة الخاصة به لأن النظام يفشل في التحقق مما إذا كان المستخدم يمتلك تلك الملفات أو لديه حق الوصول للقراءة إليها. ومن خلال مشاركة الدردشة ومنح نفسه حق الوصول للقراءة، تعالج الدالة has access to file() ملف الضحية بشكل خاطئ على أنه متاح. وهذا يسمح للمهاجم بقراءة ملف الضحية عبر نقطة النهاية ’GET /api/v1/files/{id}/content‘ أو حذفه عبر نقطة النهاية ’DELETE /api/v1/files/{id}‘.

بالإضافة إلى ذلك، يتجاهل فرع تفويض الدردشة المشتركة المعلمة access type، مما يعني أن المستخدم الذي مُنح حق الوصول للقراءة فقط إلى دردشة مشتركة بشكل مشروع يمكنه حذف الملفات المرفقة بتلك الدردشة.

قم بالتحديث إلى الإصدار 0.9.6 أو أحدث.

كحل مؤقت، قم بتقييد الوصول إلى نقاط النهاية ’GET /api/v1/files/{id}/content‘ و ’DELETE /api/v1/files/{id}‘ على المسؤولين المصرح لهم فقط.