CVE-2026-34225 in Open WebUI
Resumen
por VulDB • 2026-05-22
Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para funcionar completamente sin conexión. Las versiones 0.7.2 y anteriores contienen una vulnerabilidad de Blind Server Side Request Forgery (SSRF) en la funcionalidad que permite editar una imagen mediante un prompt. La función afectada realiza una solicitud GET a una URL proporcionada por el usuario sin restricciones de dominio, lo que permite acceder al espacio de direcciones local. Dado que la SSRF es ciega (la respuesta no puede leerse), el impacto principal es el escaneo de puertos de la red local, ya que se puede determinar si un puerto está abierto en función de si la solicitud GET tiene éxito o falla. Estas diferencias en las respuestas pueden automatizarse para iterar a través de todo el rango de puertos e identificar los puertos abiertos. Si se puede inferir el servicio que se ejecuta en un puerto abierto, un atacante podría ser capaz de interactuar con él de manera significativa, siempre que el servicio ofrezca puntos de conexión de solicitudes GET que cambien el estado. Este problema estaba sin resolver en el momento de la publicación.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.