क्रॉस-साइट स्क्रिप्टिंग (XSS) open-webui/open-webui में

यह XSS भेद्यता open-webui उपयोगकर्ताओं के लिए महत्वपूर्ण जोखिम पैदा करती है। हमलावर इस भेद्यता का उपयोग दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने के लिए कर सकते हैं जो पीड़ित के ब्राउज़र में निष्पादित होती हैं। इससे हमलावर चैट इतिहास चुरा सकते हैं, चैट हटा सकते हैं, और यदि पीड़ित एक व्यवस्थापक है तो अपना खाता व्यवस्थापक तक बढ़ा सकते हैं। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह हमलावरों को पीड़ित के विशेषाधिकारों के साथ कार्य करने की अनुमति देती है, जिससे वे सिस्टम पर व्यापक नियंत्रण प्राप्त कर सकते हैं। इस भेद्यता का शोषण करने से डेटा उल्लंघन, वित्तीय नुकसान और प्रतिष्ठा को नुकसान हो सकता है।

Organizations and individuals using open-webui for chat applications, particularly those with administrator accounts, are at significant risk. Shared hosting environments where multiple users share the same open-webui instance are especially vulnerable, as an attacker could potentially compromise all users on the server. Users relying on legacy configurations or outdated security practices are also at increased risk.

• nodejs: Monitor application logs for unusual JavaScript execution patterns or errors related to HTML rendering. Use Node.js security linters to identify potential XSS vulnerabilities in the codebase.

npm audit open-webui

• generic web: Inspect HTTP response headers for Content-Security-Policy (CSP) directives. A missing or weak CSP can increase the risk of XSS attacks.

curl -I https://your-open-webui-instance.com |
 grep -i content-security-policy

1. 2025-03-20Disclosure

   disclosure

1. आरक्षित2024-08-20
2. प्रकाशित2025-03-20
3. EPSS अद्यतन2026-04-02

CVE-2024-8017 के प्रभाव को कम करने के लिए, open-webui के नवीनतम संस्करण में अपग्रेड करना महत्वपूर्ण है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग दुर्भावनापूर्ण स्क्रिप्ट को ब्लॉक करने के लिए किया जा सकता है। इसके अतिरिक्त, इनपुट सत्यापन और आउटपुट एन्कोडिंग को लागू करने से XSS हमलों के जोखिम को कम करने में मदद मिल सकती है। सुनिश्चित करें कि सभी उपयोगकर्ता इनपुट को ठीक से मान्य किया गया है और आउटपुट को प्रदर्शित करने से पहले एन्कोड किया गया है। अपग्रेड करने के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि कोई दुर्भावनापूर्ण स्क्रिप्ट निष्पादित नहीं की जा सकती है।