CVE-2024-30256

Nome do software vulnerável e versões afetadas:

Versões do Open WebUI anteriores à 0.1.117

Descrição:

O problema está relacionado a uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) cega e autenticada. Ela envolve a função download file stream() no arquivo backend/apps/web/routers/utils.py do Open WebUI, que é explorada por meio do parâmetro url. Isso permite que um invasor remoto execute um ataque SSRF.

Recomendações:

Para versões anteriores à 0.1.117, atualize para a versão 0.1.117 para resolver o problema. Como solução temporária, considere restringir o acesso à função download file stream() até que a atualização seja aplicada. Evite usar o parâmetro url no endpoint da API afetado até que o problema seja resolvido.