PT-2026-39268 · Unknown · Open-Webui
CVE-2026-44551
·
Publicado
2026-05-05
·
Atualizado
2026-06-29
CVSS v2.0
9.4
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:N |
Nome do Software Vulnerável e Versões Afetadas
Open WebUI versões anteriores a 0.9.0
Descrição
O Open WebUI não valida se as senhas não estão vazias antes de realizar a autenticação LDAP Simple Bind. Em servidores LDAP que permitem binds não autenticados com senhas vazias, um invasor pode se autenticar como qualquer usuário LDAP válido, incluindo administradores, sem conhecer as credenciais. Isso ocorre porque o modelo
LdapForm não impõe um comprimento mínimo para a variável password, permitindo que uma string vazia chegue à função Connection.bind(). Se o servidor LDAP retornar um resultado de sucesso para esta operação, a aplicação emite um token de sessão completo, levando ao comprometimento total da conta. O problema pode ser explorado através do endpoint '/api/v1/auths/ldap' fornecendo um nome de usuário válido e uma senha vazia.Recomendações
Atualize para a versão 0.9.0.
Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/v1/auths/ldap' ou desative a autenticação LDAP definindo
ENABLE LDAP como False até que a atualização seja aplicada.Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Open-Webui