PT-2025-12180 · Unknown · Open-Webui

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-7044

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.9

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas open-webui/open-webui versão 0.3.8

Descrição Existe uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado na funcionalidade de upload de arquivos do chat. Um atacante pode injetar conteúdo malicioso em um arquivo que, quando acessado por uma vítima através de uma URL ou chat compartilhado, executa JavaScript no navegador da vítima. Isso pode levar ao roubo de dados do usuário, sequestro de sessão, distribuição de malware e ataques de phishing.

Recomendações Para open-webui/open-webui versão 0.3.8, considere desativar a funcionalidade de upload de arquivos no chat até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso aos arquivos carregados para minimizar o risco de execução de conteúdo malicioso.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-7044

GHSA-J274-M559-CJ4J

Produtos afetados

Open-Webui

Referências · 6

• 🔥 https://huntr.com/bounties/c25a885c-d6e2-4169-9ee8-4d33bcbb5ef6 · Exploit
• https://github.com/open-webui/open-webui · Nota
• https://osv.dev/vulnerability/CVE-2024-7044 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671122576896509 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-j274-m559-cj4j · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-7044 · Nota de Segurança