Cross-site Scripting (XSS) em open-webui/open-webui

A vulnerabilidade XSS no open-webui representa um risco significativo, pois permite que atacantes executem código JavaScript arbitrário no contexto do navegador da vítima. Isso significa que um atacante pode, por exemplo, roubar o histórico de chat do usuário, excluir conversas existentes ou, mais gravemente, se a vítima for um administrador, obter acesso administrativo completo ao sistema. A exploração pode ocorrer através da inserção de código malicioso em tooltips, que são então executados quando um usuário interage com a interface web. A ausência de validação adequada da entrada do usuário torna a aplicação suscetível a este tipo de ataque, abrindo caminho para a comprometimento da confidencialidade, integridade e disponibilidade dos dados.

Organizations and individuals using open-webui for chat applications, particularly those with administrator accounts, are at significant risk. Shared hosting environments where multiple users share the same open-webui instance are especially vulnerable, as an attacker could potentially compromise all users on the server. Users relying on legacy configurations or outdated security practices are also at increased risk.

• nodejs: Monitor application logs for unusual JavaScript execution patterns or errors related to HTML rendering. Use Node.js security linters to identify potential XSS vulnerabilities in the codebase.

npm audit open-webui

• generic web: Inspect HTTP response headers for Content-Security-Policy (CSP) directives. A missing or weak CSP can increase the risk of XSS attacks.

curl -I https://your-open-webui-instance.com |
 grep -i content-security-policy

1. 2025-03-20Disclosure

   disclosure

1. Reservado2024-08-20
2. Publicada2025-03-20
3. EPSS atualizado2026-04-02

A principal mitigação para a vulnerabilidade CVE-2024-8017 é a atualização imediata para uma versão corrigida do open-webui. Enquanto a atualização não for possível, considere implementar medidas de proteção adicionais, como a aplicação de regras de firewall (WAF) para bloquear payloads XSS conhecidos. Além disso, a validação e sanitização rigorosas de todas as entradas do usuário são cruciais para prevenir a injeção de código malicioso. Após a atualização, verifique a funcionalidade das tooltips para garantir que a vulnerabilidade foi efetivamente corrigida e que não há regressões.