CVE-2026-34225 in Open WebUI
Zusammenfassung
von VulDB • 27.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Die Versionen 0.7.2 und älter enthalten eine Blind Server Side Request Forgery (SSRF) in der Funktion, die das Bearbeiten eines Bildes über einen Prompt ermöglicht. Die betroffene Funktion führt eine GET-Anfrage an eine vom Benutzer bereitgestellte URL ohne Einschränkung der Domain aus, wodurch der lokale Adressraum zugänglich gemacht wird. Da die SSRF blind ist (die Antwort kann nicht gelesen werden), besteht die primäre Auswirkung in einem Port-Scanning des lokalen Netzwerks, da anhand des Erfolgs oder Fehlschlags der GET-Anfrage bestimmt werden kann, ob ein Port offen ist. Diese Antwortdifferenzen können automatisiert werden, um den gesamten Portbereich zu durchlaufen und offene Ports zu identifizieren. Wenn der auf einem offenen Port laufende Dienst erkannt werden kann, kann ein Angreifer möglicherweise sinnvoll mit ihm interagieren, sofern der Dienst GET-Anfrage-Endpunkte mit Zustandsänderungen anbietet. Dieses Problem war zum Zeitpunkt der Veröffentlichung noch nicht behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.