CVE-2026-34225 in Open WebUI
الملخص
بحسب VulDB • 23/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. تحتوي الإصدارات 0.7.2 وما دونها على ثغرة Blind Server Side Request Forgery (SSRF) في الوظيفة التي تتيح تحرير صورة عبر أمر نصي (prompt). تقوم الوظيفة المتأثرة بإجراء طلب GET إلى عنوان URL يقدمه المستخدم دون أي تقييد على النطاق، مما يتيح الوصول إلى مساحة العناوين المحلية. ونظرًا لأن ثغرة SSRF عمياء (لا يمكن قراءة الاستجابة)، فإن التأثير الأساسي هو مسح المنافذ (port scanning) للشبكة المحلية، حيث يمكن تحديد ما إذا كان المنفذ مفتوحًا أم لا بناءً على نجاح أو فشل طلب GET. يمكن أتمتة هذه الفروقات في الاستجابة لتكرار عبر نطاق المنافذ بالكامل وتحديد المنافذ المفتوحة. إذا كان من الممكن استنتاج الخدمة التي تعمل على منفذ مفتوح، فقد يتمكن المهاجم من التفاعل معها بطريقة ذات معنى، شريطة أن تقدم الخدمة نقاط نهاية لطلبات GET تغير الحالة. كانت هذه المشكلة غير محلولة عند وقت النشر.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.