CVE-2024-7038

open-webui versão 0.3.8

Existe uma vulnerabilidade de divulgação de informações relacionada ao recurso de atualização do modelo de incorporação nas configurações de administração. Quando um usuário atualiza o caminho do modelo, o sistema verifica se o arquivo existe e exibe mensagens de erro diferentes com base na existência e na configuração do arquivo. Esse comportamento permite que um invasor enumere nomes de arquivos e percorra diretórios observando as mensagens de erro, levando à possível exposição de informações confidenciais.

Para a versão 0.3.8 do open-webui, considere restringir o acesso às configurações de administração e ao recurso de atualização do modelo de incorporação até que um patch esteja disponível. Como solução alternativa temporária, considere modificar as mensagens de erro para que sejam mais genéricas, impedindo que invasores enumerem nomes de arquivos e percorram diretórios.