PT-2026-56888
CVE-2026-59225
·
تاريخ النشر
2026-07-09
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Open WebUI من 0.8.12 حتى 0.9.x
الوصف
يمكن لمستخدم مُصادق عليه وليس إداريًا، ولديه حق الوصول للقراءة إلى نموذج غلاف «arena»، الوصول إلى نموذج أساسي محظور. يحدث هذا لأن نقاط نهاية المهام، مثل ’/api/v1/tasks/moa/completions‘، تستدعي الدالة
generate chat completion() مباشرةً. في مسار التنفيذ هذا، يتم حل الارتداد في arena بعد الفحص الأولي للوصول إلى الغلاف ويتم التكرار باستخدام bypass filter=True، مما يتخطى فحص الوصول للنموذج الفرعي المحدد.التوصيات
تحديث Open WebUI إلى الإصدار 0.10.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾