CVE-2024-7048

open-webui versão v0.3.8

O problema está relacionado ao gerenciamento inadequado de privilégios nos pontos de extremidade da API “GET /api/v1/documents/” e “POST /rag/api/v1/doc”. Isso permite que um usuário com privilégios inferiores acesse e sobrescreva arquivos gerenciados por um administrador com privilégios superiores, comprometendo a integridade e a disponibilidade dos modelos RAG. Um invasor pode explorar essa vulnerabilidade para visualizar metadados de arquivos enviados por um administrador e sobrescrever esses arquivos.

Para a versão v0.3.8 do open-webui, aplique a correção imediatamente e revise os controles de acesso para mitigar o risco de acesso não autorizado. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade da API “GET /api/v1/documents/” e “POST /rag/api/v1/doc” até que uma correção esteja disponível.