CVE-2024-7040

Nome do Software Vulnerável e Versões Afetadas open-webui/open-webui versão v0.3.8

Descrição O problema está relacionado a um controle de acesso inadequado. Os administradores deveriam visualizar apenas os chats dos membros não administradores na página de administração do frontend. No entanto, é possível visualizar os chats de qualquer administrador modificando o parâmetro user id. Isso permite o acesso aos chats de outros administradores, incluindo contas de proprietário (owner).

Recomendações Para a versão v0.3.8, como solução temporária, considere restringir o acesso ao parâmetro user id no endpoint da API afetado até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.