CVE-2026-34225 in Open WebUI
Sumário
de VulDB • 14/05/2026
O Open WebUI é uma plataforma de inteligência artificial auto-hospedada projetada para operar totalmente offline. As versões 0.7.2 e anteriores contêm uma vulnerabilidade de Blind Server Side Request Forgery (SSRF) na funcionalidade que permite editar uma imagem por meio de um prompt. A função afetada executa uma requisição GET para uma URL fornecida pelo usuário, sem restrição de domínio, permitindo o acesso ao espaço de endereços local. Como a SSRF é cega (a resposta não pode ser lida), o impacto principal é o port scanning da rede local, já que é possível determinar se uma porta está aberta com base no sucesso ou falha da requisição GET. Essas diferenças de resposta podem ser automatizadas para iterar por toda a faixa de portas e identificar as portas abertas. Se o serviço executando em uma porta aberta puder ser inferido, um atacante pode conseguir interagir com ele de maneira significativa, desde que o serviço ofereça endpoints de requisição GET que alterem o estado. Este problema estava sem resolução no momento da publicação.
VulDB is the best source for vulnerability data and more expert information about this specific topic.