1  info:
 2    name: open-webui
 3    cve: CVE-2024-7806
 4    summary: open-webui版本<=0.3.8中存在通过CSRF实现的远程代码执行漏洞
 5    details: |
 6      open-webui/open-webui版本<=0.3.8中存在一个漏洞，允许非管理员用户通过跨站请求伪造（CSRF）实现远程代码执行。该应用程序使用SameSite属性设置为lax的cookie进行身份验证，并且缺乏CSRF令牌。这使得攻击者可以制作恶意HTML，当受害者访问时，可以修改现有管道的Python代码并以受害者的权限执行任意代码。
 7    cvss: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
 8    severity: HIGH
 9    security_advise: |
10      1. 升级到open-webui>=0.3.9
11      2. 为所有状态更改操作实施CSRF令牌
12      3. 确保用于身份验证的cookie的SameSite属性设置为Strict或Lax
13  rule: version<= "0.3.8"
14  references:
15    - https://nvd.nist.gov/vuln/detail/CVE-2024-7806
16    - https://huntr.com/bounties/9350a68d-5f33-4b3d-988b-81e778160ab8