Описание
Уязвимость функции Connection.bind() веб-интерфейса на базе искуственного интеллекта Open WebUI (ранее Ollama WebUI) связана с недостатками процедуры аутентификации при обработке параметра password: str. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности
Вендор
Наименование ПО
Версия ПО
Тип ПО
Операционные системы и аппаратные платформы
Уровень опасности уязвимости
Возможные меры по устранению уязвимости
Статус уязвимости
Наличие эксплойта
Информация об устранении
Идентификаторы других систем описаний уязвимостей
- CVE
- GHSA
EPSS
9.1 Critical
CVSS3
9.4 Critical
CVSS2
Связанные уязвимости
Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.9.0, the LDAP authentication endpoint does not validate that the submitted password is non-empty before performing a Simple Bind against the LDAP server. The LdapForm Pydantic model accepts password: str with no minimum length constraint, so an empty string passes validation. The subsequent Connection.bind() call succeeds on vulnerable LDAP servers, and the application issues a full session token for the target user. This vulnerability is fixed in 0.9.0.
Open WebUI has an LDAP Empty Password Authentication Bypass
EPSS
9.1 Critical
CVSS3
9.4 Critical
CVSS2