CVE-2024-7035
CVE-2024-7035 · Cross-Site Request Forgery (CSRF) in open-webui/open-webui
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
In version v0.3.8 of open-webui/open-webui, sensitive actions such as deleting and resetting are performed using the GET method. This vulnerability allows an attacker to perform Cross-Site Request Forgery (CSRF) attacks, where an unaware user can unintentionally perform sensitive actions by simply visiting a malicious site or through top-level navigation. The affected endpoints include /rag/api/v1/reset, /rag/api/v1/reset/db, /api/v1/memories/reset, and /rag/api/v1/reset/uploads. This impacts both the availability and integrity of the application.
CVSS 6.9 · Средний · EPSS 8,7% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
open-webui/open-webui
- Версии
- ≥ unspecified, ≤ latest: Затронуто (custom)
Нет опубликованного исправления
open-webui PyPI
- Версии
- 0.1.124
- 0.1.125
- 0.2.0
- 0.2.1
- 0.2.2
- 0.2.3
- 0.2.4
- 0.2.5
- 0.3.0
- 0.3.1
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- 0.3.7
- 0.3.8
- Затронутые диапазоны версий
- ECOSYSTEM: ≤ 0.3.8
Нет опубликованного исправления
open-webui PyPI
- Версии
- 0.1.124
- 0.1.125
- 0.2.0
- 0.2.1
- 0.2.2
- 0.2.3
- 0.2.4
- 0.2.5
- 0.3.0
- 0.3.1
- 0.3.10
- 0.3.12
- 0.3.13
- 0.3.14
- 0.3.15
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- 0.3.7
- 0.3.8
- 0.3.9
- Затронутые диапазоны версий
- ECOSYSTEM: < 0.3.16
Обновитесь до 0.3.16