PT-2026-50591 · Unknown+1 · Open-Webui+1

0Xer3N

·

CVE-2026-54019

·

تاريخ النشر

2026-06-17

·

تاريخ التحديث

2026-07-13

CVSS v3.1

6.5

متوسطة

المتجهAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Open WebUI الأقدم من 0.9.6
الوصف
توجد مشكلة في منصة الذكاء الاصطناعي ذات الاستضافة الذاتية، حيث يمكن تجاوز عمليات التحقق من قائمة التحكم في الوصول (ACL) على مستوى المجموعة عند تمكين وضع الاستخدام المتعدد في Milvus. تسمح قائمة التحكم في الوصول (ACL) بأسماء مجموعات غير معروفة لا تنتمي إلى قاعدة المعرفة (KB)، وتعاملها على أنها مجموعات قديمة أو مؤقتة. في وضع الاستخدام المتعدد لـ Milvus، يُستخدم اسم المجموعة الذي يتحكم فيه المستخدم كـ resource id ويتم إدراجه في تعبير Milvus دون الهروب المناسب. وهذا يسمح لمستخدم غير إداري تمت مصادقته بتنفيذ استعلامات تعرض أجزاء خاصة من قاعدة المعرفة تخص مستخدمين آخرين.
تشمل التفاصيل الفنية ما يلي:
  • نقاط نهاية واجهة برمجة التطبيقات (API): ’/api/v1/retrieval/query/collection‘ و ’/api/v1/retrieval/query/doc‘
  • المعلمات المعرضة للخطر: collection names
  • المتغير المعرض للخطر: resource id
التوصيات
قم بالتحديث إلى الإصدار 0.9.6.
كحل مؤقت، قم بتقييد الوصول إلى نقاط النهاية ’/api/v1/retrieval/query/collection‘ و ’/api/v1/retrieval/query/doc‘ أو قم بتعطيل وضع الاستخدام المتعدد في Milvus حتى يتم تطبيق التحديث.

استغلال

إصلاح

DoS

Missing Authorization

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-943CWE-862

المعرّفات ذات الصلة

CVE-2026-54019
GHSA-P5CP-R7RG-QPXC
PYSEC-2026-2750

المنتجات المتأثرة

Milvus
Open-Webui