Open WebUI Vulnerable to Cross-Site Request Forgery (CSRF)
अनुवाद हो रहा है…प्लेटफ़ॉर्म
python
घटक
open-webui
में ठीक किया गया
0.3.9
CVE-2024-7035 is a Cross-Site Request Forgery (CSRF) vulnerability affecting open-webui versions up to v0.3.8. This flaw allows attackers to trick users into unknowingly performing sensitive actions within the application. The vulnerability stems from sensitive operations being executed via GET requests, making them susceptible to manipulation through malicious websites or links. Affected users should upgrade to a patched version as soon as possible.
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी requirements.txt फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।
प्रभाव और हमले की स्थितियाँअनुवाद हो रहा है…
The primary impact of CVE-2024-7035 is the potential for unauthorized data modification and deletion. An attacker could craft a malicious website or link that, when visited by an authenticated user of open-webui, would trigger actions such as resetting the database (/rag/api/v1/reset/db), deleting memories (/api/v1/memories/reset), or clearing uploads (/rag/api/v1/reset/uploads). This could lead to data loss, service disruption, and compromise of the application's integrity. The blast radius extends to any user with access to these sensitive functions within open-webui, and the ease of exploitation via simple website visits makes it a significant risk. While not directly leading to remote code execution, the data manipulation capabilities can be leveraged for further attacks.
शोषण संदर्भअनुवाद हो रहा है…
CVE-2024-7035 was published on 2025-03-20. Its severity is currently assessed as MEDIUM (CVSS 6.9). There are no known public Proof-of-Concept (POC) exploits available at this time, but the ease of CSRF exploitation suggests a potential for rapid development of such exploits. The vulnerability is not currently listed on KEV or EPSS, indicating a low to medium probability of active exploitation. Monitor security advisories and threat intelligence feeds for updates.
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.04% (12% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- उच्च — व्यवस्थापक या विशेषाधिकार प्राप्त खाते की आवश्यकता।
- User Interaction
- आवश्यक — पीड़ित को फ़ाइल खोलनी, लिंक पर क्लिक करना या पेज पर जाना होगा।
- Scope
- बदला हुआ — हमला कमज़ोर घटक से परे अन्य प्रणालियों तक फैल सकता है।
- Confidentiality
- कोई नहीं — गोपनीयता पर कोई प्रभाव नहीं।
- Integrity
- उच्च — हमलावर कोई भी डेटा लिख, बदल या हटा सकता है।
- Availability
- निम्न — आंशिक या रुक-रुक कर सेवा से इनकार।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- संशोधित
- EPSS अद्यतन
शमन और वर्कअराउंडअनुवाद हो रहा है…
The recommended mitigation for CVE-2024-7035 is to upgrade open-webui to a version that addresses the vulnerability. Unfortunately, a fixed version is not currently specified. As a workaround, implement strict input validation and output encoding on all sensitive endpoints, specifically /rag/api/v1/reset, /rag/api/v1/reset/db, /api/v1/memories/reset, and /rag/api/v1/reset/uploads. Consider implementing CSRF tokens for these endpoints to prevent unauthorized requests. Web Application Firewalls (WAFs) can be configured to detect and block suspicious GET requests targeting these endpoints. Monitor application logs for unusual activity related to these endpoints. After applying mitigations, verify functionality by attempting to trigger the sensitive actions through a controlled environment to ensure protection.
कैसे ठीक करेंअनुवाद हो रहा है…
Actualice a una versión posterior a la 0.3.8 donde se haya corregido la vulnerabilidad CSRF. Como medida temporal, evite acceder a sitios web no confiables mientras esté autenticado en open-webui. Considere implementar protecciones CSRF en su propia configuración si es posible.
CVE सुरक्षा न्यूज़लेटर
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
अक्सर पूछे जाने वाले सवालअनुवाद हो रहा है…
What is CVE-2024-7035 — CSRF in open-webui?
It's a Cross-Site Request Forgery (CSRF) vulnerability in open-webui versions up to v0.3.8, allowing attackers to perform actions as an authenticated user.
Am I affected by CVE-2024-7035 in open-webui?
If you are using open-webui version 0.3.8 or earlier, you are potentially affected by this vulnerability.
How do I fix CVE-2024-7035 in open-webui?
Upgrade to a patched version of open-webui as soon as it becomes available. Implement CSRF tokens and input validation as a temporary workaround.
Is CVE-2024-7035 being actively exploited?
Currently, there are no known public exploits, but the ease of CSRF exploitation suggests a potential for future attacks.
Where can I find the official open-webui advisory for CVE-2024-7035?
Refer to the official NVD entry for CVE-2024-7035 and monitor security advisories from the open-webui project.
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।