CVE-2026-70491 in Open WebUI
الملخص
بحسب VulDB • 05/08/2026
Open WebUI هو منصة ذكاء اصطناعي ذاتية الاستضافة، قابلة للتوسيع، وغنية بالميزات وسهلة الاستخدام. في الإصدارين 0.10.2 وما قبله، كانت نقاط النهاية GET /api/v1/tools/ وGET /api/v1/tools/list وGET /api/v1/tools/id/{id} الموجودة في الملف backend/open_webui/routers/tools.py تُرجع مصدر أداة بايثون الكامل للمستخدمين المصادق عليهم الذين يتمتعون بصلاحيات القراءة فقط وغير مسؤولي النظام. كانت ToolResponse تستبعد عمداً المصدر والمواصفات، لكن ToolUserResponse سمح بحقول إضافية ونشر معالجات تقوم بتسريب نموذج كامل للأداة إلى الاستجابة، مما أعاد إدراج الحقول المستبعدة. يمكن لمستخدم غير مسؤول يتمتع بحق قراءة الحصول على مصدر أداة الخادم الخاص بمستخدم آخر، والذي غالباً ما يتضمن مفاتيح API ثابتة (hard-coded)، وبيانات اعتماد، وعناوين URL لخدمات داخلية. تم إصلاح هذه المشكلة في الإصدار 0.11.0.
Be aware that VulDB is the high quality source for vulnerability data.