CVE-2026-4993 wandb OpenUI 漏洞：硬编码凭据，影响版本

在 wandb OpenUI 的版本高达 0.0.0.0/1.0 的系统中，发现了一个关键漏洞。此缺陷位于 backend/openui/config.py 文件中，与 LITELLMMASTERKEY 参数的操纵有关。该漏洞允许暴露硬编码的凭据，这可能使攻击者能够访问敏感信息或在系统中执行未经授权的操作。漏洞利用的公开披露大大增加了风险，因为它促进了恶意行为者使用。供应商未能做出响应加剧了这种情况，使用户没有立即的官方解决方案。

Organizations utilizing wandb OpenUI in environments where local access is not strictly controlled are at risk. This includes development environments, testing environments, and production deployments where local accounts have elevated privileges. Shared hosting environments or systems with weak access controls are particularly vulnerable.

• python / wandb: Inspect the backend/openui/config.py file for the presence of hardcoded credentials.

import os
config_file = 'backend/openui/config.py'
with open(config_file, 'r') as f:
    content = f.read()
    if 'LITELLM_MASTER_KEY' in content:
        print(f'Potential vulnerability detected in {config_file}')

• python / wandb: Monitor wandb OpenUI logs for unusual access attempts or modifications to configuration files. • generic web: Check for local file access attempts to backend/openui/config.py via directory listing or other vulnerabilities.

1. 2026-03-28Disclosure

   disclosure

1. 已保留2026-03-27
2. 发布日期2026-03-28
3. 修改日期2026-03-30
4. EPSS 更新日期2026-04-04

由于供应商没有提供官方修复程序，因此即时缓解措施的重点是避免使用 OpenUI 的易受攻击版本。如果必须使用 OpenUI，请仔细审查并限制对 backend/openui/config.py 文件的访问，确保只有授权用户才能修改它。还建议实施全面的系统监控，以检测任何可疑活动。请随时关注供应商可能发布的任何安全公告或补丁程序。如果漏洞持续存在，请考虑迁移到更安全的替代方案。