CVE-2024-7035
CVE-2024-7035 · Cross-Site Request Forgery (CSRF) in open-webui/open-webui
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
In version v0.3.8 of open-webui/open-webui, sensitive actions such as deleting and resetting are performed using the GET method. This vulnerability allows an attacker to perform Cross-Site Request Forgery (CSRF) attacks, where an unaware user can unintentionally perform sensitive actions by simply visiting a malicious site or through top-level navigation. The affected endpoints include /rag/api/v1/reset, /rag/api/v1/reset/db, /api/v1/memories/reset, and /rag/api/v1/reset/uploads. This impacts both the availability and integrity of the application.
CVSS 6.9 · Media · EPSS 8,7% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: python
Productos y versiones afectados
open-webui/open-webui
- Versiones
- ≥ unspecified, ≤ latest: Afectada (custom)
Sin corrección publicada
open-webui PyPI
- Versiones
- 0.1.124
- 0.1.125
- 0.2.0
- 0.2.1
- 0.2.2
- 0.2.3
- 0.2.4
- 0.2.5
- 0.3.0
- 0.3.1
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- 0.3.7
- 0.3.8
- Intervalos de versiones afectados
- ECOSYSTEM: ≤ 0.3.8
Sin corrección publicada
open-webui PyPI
- Versiones
- 0.1.124
- 0.1.125
- 0.2.0
- 0.2.1
- 0.2.2
- 0.2.3
- 0.2.4
- 0.2.5
- 0.3.0
- 0.3.1
- 0.3.10
- 0.3.12
- 0.3.13
- 0.3.14
- 0.3.15
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- 0.3.7
- 0.3.8
- 0.3.9
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.3.16
Actualiza a 0.3.16