PT-2024-38044 · Unknown · Open-Webui
CVE-2024-7049
·
Publicado
2024-10-10
·
Atualizado
2024-10-17
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
open-webui/open-webui versão v0.3.8
Descrição
Existe uma vulnerabilidade pela qual um token é retornado quando um usuário com uma função pendente faz login, permitindo que o usuário execute ações sem a confirmação do administrador e contornando o processo de aprovação previsto.
Recomendações
Para a versão v0.3.8, como solução temporária, considere restringir o uso de tokens para usuários com funções pendentes até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Open-Webui