CVE-2024-7043

Nome do Software Vulnerável e Versões Afetadas open-webui/open-webui versão 0.3.8

Descrição O problema permite que atacantes visualizem e excluam quaisquer arquivos devido a um controle de acesso inadequado. A aplicação falha ao verificar se o atacante é um administrador, permitindo-lhes chamar diretamente a interface "GET /api/v1/files/" para recuperar informações sobre todos os arquivos enviados pelos usuários, incluindo os valores de ID. Os atacantes podem então usar a interface "GET /api/v1/files/{file id}" para obter informações sobre qualquer arquivo e a interface "DELETE /api/v1/files/{file id}" para excluir qualquer arquivo.

Recomendações Para open-webui/open-webui versão 0.3.8, considere restringir o acesso à interface GET /api/v1/files/ e implementar um controle de acesso adequado para prevenir a exclusão e visualização não autorizada de arquivos até que uma correção esteja disponível. Como solução alternativa temporária, restrinja o acesso à interface DELETE /api/v1/files/{file id} para minimizar o risco de exploração.