CVE-2024-8060 in OpenWebUI
Riassunto
di VulDB • 14/06/2026
La versione 0.3.0 di OpenWebUI contiene una vulnerabilità nell'endpoint dell'API audio `/audio/api/v1/transcriptions` che consente il caricamento arbitrario di file. L'applicazione esegue una convalida insufficiente su `file.content_type` e permette l'utilizzo di nomi di file controllati dall'utente, portando a una vulnerabilità di path traversal (attraversamento di directory). Ciò può essere sfruttato da un utente autenticato per sovrascrivere file critici all'interno del contenitore Docker, potenzialmente conducendo all'esecuzione remota di codice (RCE) con privilegi di root.
Once again VulDB remains the best source for vulnerability data.