PT-2026-67834
CVE-2026-70481
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Open WebUI من 0.5.0 إلى 0.10.9
الوصف
في القنوات القياسية، تفشل معالجات تحديث الرسائل وحذفها في التحقق مما إذا كان المتصل هو المؤلف الأصلي للرسالة. ونظرًا لأن حق الوصول للكتابة هو نفس الإذن المطلوب لنشر رسالة، فإن أي مستخدم تمت مصادقته ولديه دور
user وحق الوصول للكتابة إلى قناة قياسية مشتركة يمكنه تعديل أو حذف الرسائل المرسلة من قبل المشاركين الآخرين بشكل دائم. وهذا يسمح للمهاجم بتزوير محتوى باسم مستخدم آخر أو إتلاف سجل القناة. تحدث هذه المشكلة عندما يقوم المسؤول بتمكين الإعداد ENABLE CHANNELS.تتضمن التفاصيل الفنية نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة التالية:
-
’POST /api/v1/channels/{id}/messages/{message id}/update‘ عبر الدالة
update message by id() -
’DELETE /api/v1/channels/{id}/messages/{message id}/delete‘ عبر الدالة
delete message by id()
التوصيات
تحديث Open WebUI إلى الإصدار 0.11.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾