0Xer3N

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Description** Existe um problema na plataforma de inteligência artificial auto-hospedada onde as verificações de Lista de Controle de Acesso (ACL) ao nível de coleção podem ser ignoradas quando o modo de multilocação (multitenancy) do Milvus está habilitado. A ACL permite nomes de coleções não pertencentes à Base de Conhecimento (KB), tratando-os como coleções legadas ou efêmeras. No modo de multilocação do Milvus, um nome de coleção controlado pelo usuário é utilizado como um `resource id` e interpolado em uma expressão Milvus sem a devida filtragem (escaping). Isso permite que um usuário autenticado sem privilégios de administrador execute consultas que retornam fragmentos privados de bases de conhecimento pertencentes a outros usuários. Detalhes técnicos incluem: - **API Endpoints**: '/api/v1/retrieval/query/collection' e '/api/v1/retrieval/query/doc' - **Parâmetros Vulneráveis**: `collection names` - **Variável Vulnerável**: `resource id` **Recommendations** Atualizar para a versão 0.9.6. Como medida paliativa temporária, restrinja o acesso aos endpoints '/api/v1/retrieval/query/collection' e '/api/v1/retrieval/query/doc' ou desabilite o modo de multilocação do Milvus até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Description** O Open WebUI permite que usuários com permissões para criar, atualizar ou importar modelos de workspace armazenem entradas `meta.knowledge` arbitrárias sem verificar a propriedade ou o acesso de leitura aos arquivos referenciados. O sistema trata as entradas `meta.knowledge` do tipo `file` como uma fonte de autorização, o que pode ser explorado por um proprietário de modelo mal-intencionado para anexar o ID de arquivo de outro usuário aos metadados de seu modelo. Isso permite que o invasor leia ou exclua arquivos privados pertencentes a outros usuários. Detalhes técnicos incluem: - **API Endpoints:** `GET '/api/v1/files/{id}/content'` e `DELETE '/api/v1/files/{id}'` podem ser usados para ler ou excluir arquivos não autorizados. - **Vulnerable Parameters:** O campo `meta.knowledge` dentro dos metadados do modelo é usado para injetar IDs de arquivos não autorizados. - **Function Names:** A ferramenta `view file()` e a função `has access to file()` confiam incorretamente nos metadados forjados para autorização. **Recommendations** Atualize para a versão 0.9.6. Como medida paliativa temporária, restrinja as permissões `workspace.models` e `workspace.models import` apenas a usuários confiáveis para evitar a criação de modelos maliciosos.

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Description** O Open WebUI contém um problema de Cross-Site Scripting (XSS) armazenado onde a plataforma não valida as imagens de perfil de modelos. Embora problemas semelhantes tenham sido corrigidos para imagens de perfil de usuários e webhooks, a classe `ModelMeta` carece de um validador de campo `validate profile image url`. Além disso, o endpoint de serviço de imagens de modelo não implementa uma lista de permissões MIME ou o cabeçalho `X-Content-Type-Options: nosniff`. Um usuário autenticado com permissões de `workspace.models` pode armazenar um payload malicioso `data:image/svg+xml;base64,...` na imagem de perfil de um modelo. Se outro usuário navegar até a URL da imagem, o script incorporado é executado na origem da aplicação, podendo levar ao controle total da conta através do roubo de tokens do armazenamento local. Detalhes técnicos incluem: - **API Endpoints:** '/api/v1/models/create', '/api/v1/models/update', '/api/v1/models/import' e o endpoint de serviço '/api/v1/models/model/profile/image'. - **Vulnerable Parameters:** A variável `profile image url` dentro da classe `ModelMeta`. **Recommendations** Atualize para a versão 0.9.6. Como medida paliativa temporária, restrinja a permissão `workspace.models` a administradores confiáveis para evitar que usuários não autorizados façam upload de imagens de perfil de modelos maliciosas.

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Description** O Open WebUI contém uma falha de autorização em seus endpoints de histórico de versões de prompts. Embora o sistema autorize o `prompt id` fornecido na URL, ele não verifica se as entradas de histórico solicitadas realmente pertencem a esse prompt específico. Um usuário autenticado com acesso a qualquer prompt sob seu controle pode usar um ID de histórico de uma vítima para ler ou excluir o histórico de prompts privado de outro usuário, que pode conter textos privados, instruções internas e variáveis sensíveis. Detalhes técnicos sobre os endpoints afetados: - '/api/v1/prompts/id/{prompt id}/history/diff' (GET): Permite a leitura de snapshots de histórico de outro prompt. - '/api/v1/prompts/id/{prompt id}/update/version' (POST): Permite restaurar o snapshot de outro prompt no prompt do chamador, expondo seu conteúdo. - '/api/v1/prompts/id/{prompt id}/history/{history id}' (DELETE): Permite excluir uma entrada de histórico de outro prompt. O problema decorre das funções `compute diff()`, `update prompt version()` e `delete history entry()`, que buscam entradas de histórico globalmente por ID sem garantir que o `prompt id` corresponda ao prompt autorizado. **Recommendations** Atualize para a versão 0.9.6.

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Descrição** Um usuário autenticado pode anexar valores de `file id` arbitrários às suas próprias mensagens de chat porque o sistema não verifica se o usuário possui ou tem acesso de leitura a esses arquivos. Ao compartilhar o chat e conceder a si mesmo acesso de leitura, a função `has access to file()` trata incorretamente o arquivo da vítima como acessível. Isso permite que um invasor leia o arquivo de uma vítima através do endpoint 'GET /api/v1/files/{id}/content' ou o exclua através do endpoint 'DELETE /api/v1/files/{id}'. Além disso, o ramo de autorização de chat compartilhado ignora o `access type`, o que significa que um usuário com permissão apenas de leitura em um chat compartilhado legitimamente pode excluir arquivos anexados a esse chat. **Recomendações** Atualize para a versão 0.9.6 ou posterior. Como medida paliativa temporária, restrinja o acesso aos endpoints 'GET /api/v1/files/{id}/content' e 'DELETE /api/v1/files/{id}' apenas a administradores autorizados.

**Nome do Software Vulnerável e Versões Afetadas** @angular/platform-server versões anteriores a 19.2.23 @angular/platform-server versões anteriores a 20.3.22 @angular/platform-server versões anteriores a 21.2.15 @angular/platform-server versões anteriores a 22.0.0-rc.2 **Description** Um problema no pacote `@angular/platform-server` permite que atacantes remotos ignorem as restrições da lista de permissões (allowlist) de hosts e direcionem solicitações de saída do servidor para endpoints externos arbitrários. Isso ocorre devido a uma diferença de processamento entre o parser de URL WHATWG estrito, usado para a validação da allowlist, e o parser de URL Domino tolerante, usado para inicializar o DOM emulado do servidor. Quando uma solicitação contém uma URL malformada com uma estrutura de porta dupla, como `http://evil.com:80:80/path`, a lógica estrita `URL.canParse(url)` retorna `false`, ignorando completamente a validação de verificação de host. Posteriormente, o parser interno do Domino aceita a URL e resolve a origem para `http://evil.com:80`. O interceptor de solicitações HTTP de SSR `relativeUrlsTransformerInterceptorFn()` então resolve todas as solicitações HTTP relativas do backend contra essa origem, executando um ataque de Server-Side Request Forgery (SSRF). Isso pode levar ao redirecionamento de consultas de API contendo credenciais sensíveis, cookies de sessão e tokens de autorização internos para um servidor controlado pelo atacante, além de injeção de resposta e envenenamento de conteúdo no HTML renderizado. **Recommendations** Atualize para a versão 19.2.23 ou posterior. Atualize para a versão 20.3.22 ou posterior. Atualize para a versão 21.2.15 ou posterior. Atualize para a versão 22.0.0-rc.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** LiquidJS versões anteriores a 10.26.0 **Descrição** Uma falha na lógica do filtro `strip html` permite a ocorrência de Cross-Site Scripting (XSS). O filtro foi projetado para remover tags HTML de strings para atuar como um sanitizador; no entanto, ele utiliza uma expressão regular onde o ramo de captura geral (`<.*?>`) não reconhece terminadores de linha. Consequentemente, qualquer tag HTML que contenha um caractere de nova linha (` `) ou retorno de carro (`r`) é transmitida sem modificações. Como os navegadores web tratam esses caracteres como espaços em branco dentro de uma tag, um invasor pode burlar a sanitização inserindo uma nova linha em uma tag (ex: `<img src=x onerror=alert(1)>`), levando à execução de JavaScript arbitrário. Isso ocorre em aplicações que renderizam strings controladas por invasores usando o filtro `strip html` e não realizam a codificação HTML (HTML-escape) da saída separadamente, que é o comportamento padrão quando a variável `outputEscape` não está definida. **Recomendações** Atualize para a versão 10.26.0 ou posterior. Como medida paliativa temporária, evite usar o filtro `strip html` para sanitizar conteúdo não confiável e, em vez disso, utilize o filtro `escape` para realizar a codificação HTML da saída.

**Name of the Vulnerable Software and Affected Versions** ApostropheCMS versions prior to 3.5.3 @apostrophecms/import-export versions prior to 3.5.3 **Description** ApostropheCMS contains a Zip Slip vulnerability in the `extract()` function within `gzip.js`. The `path.join()` function does not sanitize or resolve traversal segments like `../`, allowing a crafted `.tar.gz` file uploaded through the CMS import UI to write attacker-controlled content to any path the Node.js process can access on the host filesystem. This is possible because the function constructs file-write paths without performing a canonical-path check before opening the write stream. Any user with Global Content Modify permission, a role routinely assigned to content editors and site managers, can exploit this issue. The vulnerability allows for arbitrary file write, potentially leading to site defacement, malicious asset injection, persistent backdoors, credential theft, and denial of service. The `extract()` function is located in `packages/import-export/lib/formats/gzip.js` lines 132–157. The vulnerability requires the 'Global Content Modify' permission. **Recommendations** Update to version 3.5.3 of `@apostrophecms/import-export` or later.