Cross-site Scripting (XSS) dans open-webui/open-webui

L'impact de cette vulnérabilité XSS est significatif. Un attaquant peut exploiter cette faille pour exécuter du code JavaScript dans le contexte du navigateur de la victime. Cela permet de voler des informations sensibles, telles que l'historique des conversations, de supprimer des chats, et, dans le cas où la victime est un administrateur, d'élever le compte de l'attaquant au niveau d'administrateur. Cette élévation de privilèges pourrait permettre un contrôle total sur l'application open-webui et les données qu'elle contient. L'attaquant pourrait également utiliser cette vulnérabilité pour lancer d'autres attaques, telles que le phishing ou le détournement de session.

Organizations and individuals using open-webui for chat applications, particularly those with administrator accounts, are at significant risk. Shared hosting environments where multiple users share the same open-webui instance are especially vulnerable, as an attacker could potentially compromise all users on the server. Users relying on legacy configurations or outdated security practices are also at increased risk.

• nodejs: Monitor application logs for unusual JavaScript execution patterns or errors related to HTML rendering. Use Node.js security linters to identify potential XSS vulnerabilities in the codebase.

npm audit open-webui

• generic web: Inspect HTTP response headers for Content-Security-Policy (CSP) directives. A missing or weak CSP can increase the risk of XSS attacks.

curl -I https://your-open-webui-instance.com |
 grep -i content-security-policy

1. 2025-03-20Disclosure

   disclosure

1. Réservé2024-08-20
2. Publiée2025-03-20
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour open-webui vers une version corrigée dès que possible. En attendant la mise à jour, il est possible de mettre en place des mesures de protection temporaires. Il est recommandé de désactiver temporairement la fonctionnalité d'infobulle si possible. L'utilisation d'un Web Application Firewall (WAF) peut aider à bloquer les requêtes malveillantes contenant du code JavaScript suspect. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte. Après la mise à jour, vérifiez l'intégrité de l'installation et effectuez des tests de pénétration pour confirmer l'absence de la vulnérabilité.