Cross-site Scripting (XSS) in open-webui/open-webui

De impact van deze XSS-kwetsbaarheid is aanzienlijk. Een succesvolle exploitatie kan leiden tot het stelen van chatgeschiedenis, het verwijderen van chats en, in het geval van een admin-gebruiker, het escaleren van de aanvaller naar een administrator account. Dit geeft de aanvaller volledige controle over de open-webui installatie. De mogelijkheid om adminrechten te verwerven maakt dit een bijzonder gevaarlijke kwetsbaarheid, aangezien het de aanvaller in staat stelt om de applicatie te manipuleren, data te wijzigen en verdere aanvallen uit te voeren. De kwetsbaarheid is direct te exploiteren via de tooltip-functionaliteit, waardoor de aanval relatief eenvoudig te realiseren is.

Organizations and individuals using open-webui for chat applications, particularly those with administrator accounts, are at significant risk. Shared hosting environments where multiple users share the same open-webui instance are especially vulnerable, as an attacker could potentially compromise all users on the server. Users relying on legacy configurations or outdated security practices are also at increased risk.

• nodejs: Monitor application logs for unusual JavaScript execution patterns or errors related to HTML rendering. Use Node.js security linters to identify potential XSS vulnerabilities in the codebase.

npm audit open-webui

• generic web: Inspect HTTP response headers for Content-Security-Policy (CSP) directives. A missing or weak CSP can increase the risk of XSS attacks.

curl -I https://your-open-webui-instance.com |
 grep -i content-security-policy

1. 2025-03-20Disclosure

   disclosure

1. Gereserveerd2024-08-20
2. Gepubliceerd2025-03-20
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-8017 is het upgraden naar een beveiligde versie van open-webui. Controleer de officiële repository of de vendor voor de meest recente versie met de correctie. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) om XSS-aanvallen te blokkeren. Configureer de WAF om inputvalidatie toe te passen op alle parameters die naar de tooltip-functionaliteit worden verzonden. Daarnaast kan het beperken van de rechten van gebruikers, zodat niet iedereen adminrechten heeft, de impact van een succesvolle exploitatie verminderen. Na de upgrade, controleer de logbestanden op verdachte activiteit en valideer dat de tooltip-functionaliteit correct werkt zonder XSS-risico’s.