open-webui/open-webui 中存在跨站脚本攻击 (Cross-site Scripting, XSS)

该 XSS 漏洞的潜在影响非常严重。攻击者可以利用它来窃取用户的聊天记录，删除聊天内容，甚至在受害者是管理员的情况下，将自己的账户提升为管理员权限。这意味着攻击者可以完全控制 open-webui 实例，并可能访问其背后的数据和系统。攻击者可能利用此漏洞进行钓鱼攻击，诱骗用户点击恶意链接，从而窃取用户的凭据或安装恶意软件。由于 open-webui 通常用于管理和控制其他系统，因此该漏洞的潜在影响范围可能非常广泛，可能导致整个系统的安全受到威胁。

Organizations and individuals using open-webui for chat applications, particularly those with administrator accounts, are at significant risk. Shared hosting environments where multiple users share the same open-webui instance are especially vulnerable, as an attacker could potentially compromise all users on the server. Users relying on legacy configurations or outdated security practices are also at increased risk.

• nodejs: Monitor application logs for unusual JavaScript execution patterns or errors related to HTML rendering. Use Node.js security linters to identify potential XSS vulnerabilities in the codebase.

npm audit open-webui

• generic web: Inspect HTTP response headers for Content-Security-Policy (CSP) directives. A missing or weak CSP can increase the risk of XSS attacks.

curl -I https://your-open-webui-instance.com |
 grep -i content-security-policy

1. 2025-03-20Disclosure

   disclosure

1. 已保留2024-08-20
2. 发布日期2025-03-20
3. EPSS 更新日期2026-04-02

为了缓解 CVE-2024-8017 的风险，建议用户立即升级到 open-webui 的最新版本。如果无法立即升级，可以考虑以下缓解措施：首先，实施严格的输入验证和输出编码，以防止恶意脚本注入。其次，限制管理员账户的权限，以减少攻击者成功利用漏洞后的潜在影响。第三，定期审查 open-webui 的配置，确保其安全性。最后，监控 open-webui 的日志，以检测任何可疑活动。在升级后，请验证漏洞是否已成功修复，例如通过尝试触发漏洞并确认其不再有效。