Open WebUI 任务端点模型访问控制绕过 (GHSA-m36f-5b6f-w979)

漏洞概述 漏洞名称: Arena task endpoints can bypass underlying model access controls 漏洞编号: GHSA-m36f-5b6f-w979 严重程度: 中等 (5.4 / 10) 影响版本: >= 0.6.12, = 0.10.0 CVSS v3.1: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L = 7.6 主要 CWE: CWE-862: Missing Authorization 描述 经过身份验证的非管理员用户，如果具有对 Arena 包装器模型的读取权限，可以通过任务端点（如 ）访问受限制的底层模型。 正常聊天路由在最终调度之前解析 Arena 模型，并因此重新检查所选的底层模型。任务路由直接调用 。在直接路径中，Arena 回退解析发生在包装器访问检查之后，并使用 进行递归，从而跳过了所选子模型的访问检查。 技术细节 Open WebUI 当前的模型访问控制行为确实禁止了对受限模型的直接访问。正常的聊天路径也禁止在 Arena 处理后访问受限模型。任务端点路径与受保护的行为不一致，因为它通过直接 Arena 回退和递归 到达相同的受限模型。 此报告不依赖于恶意提供者配置、用户创建的 Tools/Functions 或直接代码执行。交叉边界是模型读取授权。 尽管 Arena 包装器必须由用户读取，但这并不是“公开暴露受限模型”配置声明。如果正常聊天后处理器在所选受限模型是调度目标时拒绝访问，则此安全边界被破坏。 概念验证 (PoC) PoC 代码未直接提供，但描述了以下行为： 1. 直接任务请求: 被拒绝。 2. 正常聊天后处理器控制: 被拒绝。 3. Arena 任务请求: 成功绕过访问控制，调用受限模型。 影响 普通用户可以使用可读的 Arena 包装器作为受限模型的预言机，通过任务生成端点。对于 ，调用者控制提示词并接收生成的响应。 交叉安全边界是模型读取授权：非管理员用户如果具有对模型的直接访问权限，仍然可以导致 Open WebUI 以管理员配置的后端凭据向该模型发出请求。 这可能导致： 使用管理员配置的提供者密钥使用付费或内部模型。 绕过模型访问权限组中显示的模型选择器。 按令牌付费提供者的成本和影响。 暴露管理员意图限制的模型行为或内部部署功能。 建议修复 不要在 Arena 回退调度中使用 ，除非所选的底层模型已经过调用者的授权。 推荐更改 在递归调度之前，加载所选模型并调用 。 对于 或 ，构建候选池，从当前用户可读的模型中，而不是 中的每个非 Arena 模型。 为 、 、 和正常的 Arena 行为添加回归测试。 受影响的组件 构建来自调用者控制的 、 和 的有效负载，然后调用 。 检查用户提供的 Arena 包装器的访问权限。 Arena 回退解析选择底层模型，当调用者未通过 时。 递归调度使用 。 Arena 包装器访问检查仅检查包装器 。 重复分析 此漏洞与 GHSA-9vvh-qm9x-p4q8 / CVE-2026-44555 不同，后者涵盖 链接和用户创建工作区模型。当前头包括 的修复。此报告涵盖调用 的任务端点，而没有主聊天预处理器。根本原因是 Arena 回退加上递归 和 。 先决条件 经过身份验证的非管理员用户。 用户可以读取 Arena 包装器模型，例如具有公共读取权限的自定义 Arena。 Arena 模型至少包含一个用户无法直接查询的受限底层模型。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Open WebUI 任务端点模型访问控制绕过 (GHSA-m36f-5b6f-w979)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Open WebUI 任务端点模型访问控制绕过 (GHSA-m36f-5b6f-w979)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！