CVE-2024-7053 in open-webui
要約
〜によって VulDB • 2026年06月03日
open-webui/open-webui バージョン 0.3.8 には、ユーザーレベルのアカウントを持つ攻撃者がセッション固定攻撃を実行できる脆弱性があります。すべてのユーザーのセッション Cookie はデフォルトで `SameSite=Lax` が設定され、`Secure` フラグが有効になっていないため、セッション Cookie が HTTP を介してクロスオリジンのドメインに送信される可能性があります。攻撃者は、チャット内に悪意のある Markdown 画像を埋め込むことでこれを悪用し、管理者がそれ viewed した際に、管理者のセッション Cookie を攻撃者のサーバーに送信させることができます。これにより、管理者アカウントの静かなる乗っ取り（stealthy administrator account takeover）につながり、管理者アカウントの昇格された権限により、リモートコード実行（RCE）を引き起こす可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.