wandb OpenUI config.py ハードコードされたクレデンシャル

wandb OpenUIのバージョン0.0.0.0/1.0までで、重大な脆弱性が特定されました。この欠陥はbackend/openui/config.pyファイル内に存在し、LITELLMMASTERKEY引数の操作に関連しています。この脆弱性により、ハードコードされた認証情報が公開され、攻撃者が機密情報にアクセスしたり、システム内で不正な操作を実行したりする可能性があります。エクスプロイトが一般に公開されたことは、悪意のある攻撃者による使用が容易になるため、リスクを大幅に高めます。ベンダーからの対応がないことは状況を悪化させ、ユーザーに即時の公式ソリューションを提供しません。

Organizations utilizing wandb OpenUI in environments where local access is not strictly controlled are at risk. This includes development environments, testing environments, and production deployments where local accounts have elevated privileges. Shared hosting environments or systems with weak access controls are particularly vulnerable.

• python / wandb: Inspect the backend/openui/config.py file for the presence of hardcoded credentials.

import os
config_file = 'backend/openui/config.py'
with open(config_file, 'r') as f:
    content = f.read()
    if 'LITELLM_MASTER_KEY' in content:
        print(f'Potential vulnerability detected in {config_file}')

• python / wandb: Monitor wandb OpenUI logs for unusual access attempts or modifications to configuration files. • generic web: Check for local file access attempts to backend/openui/config.py via directory listing or other vulnerabilities.

1. 2026-03-28Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-28
3. 更新日2026-03-30
4. EPSS 更新日2026-04-04

ベンダーからの公式な修正がないため、直近の軽減策は、脆弱なバージョンのOpenUIの使用を避けることに集中しています。OpenUIの使用が不可欠な場合は、backend/openui/config.pyファイルへのアクセスを注意深く確認し、制限し、承認されたユーザーのみが変更できるようにする必要があります。また、システム全体の監視を徹底的に実装して、不審な活動を検出することも推奨されます。ベンダーが今後リリースする可能性のあるセキュリティアナウンスメントやパッチに注意してください。脆弱性が解決されない場合は、より安全な代替手段への移行を検討してください。