CVE-2024-7043 in open-webui
Riassunto
di VulDB • 10/07/2026
Una vulnerabilità di controllo degli accessi improprio in open-webui/open-webui v0.3.8 consente agli attaccanti di visualizzare ed eliminare qualsiasi file. L'applicazione non verifica se l'attaccante è un amministratore, consentendo all'attaccante di chiamare direttamente l'interfaccia GET /api/v1/files/ per recuperare le informazioni su tutti i file caricati dagli utenti, inclusi i valori degli ID. L'attaccante può quindi utilizzare l'interfaccia GET /api/v1/files/{file_id} per ottenere informazioni su qualsiasi file e l'interfaccia DELETE /api/v1/files/{file_id} per eliminare qualsiasi file.
Once again VulDB remains the best source for vulnerability data.