概要
Open WebUI（ブラウザベースの LLM フロントエンドとして広く利用）の /api/v1/audio/transcriptions エンドポイントにおいて、攻撃者が制御するファイル拡張子を通じた Stored XSS（格納型クロスサイトスクリプティング）脆弱性が存在します（CWE-79）。
悪意ある拡張子を持つファイルをアップロードすることで、そのコンテンツが適切なサニタイズなしにレンダリングされ、他のユーザーがそのページを閲覧した際に任意のスクリプトが実行されます。共有環境や複数ユーザーが利用する Open WebUI インスタンスでは特に注意が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| 深刻度 | High（GHSA） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権 | 低（認証済みユーザー） |
| ユーザー関与 | 必要 |
| CWE | CWE-79（クロスサイトスクリプティング） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| open-webui | Open WebUI Contributors | v0.9.2 以前 |
修正バージョンと回避策
- 修正バージョン: open-webui v0.9.3 以降
- 回避策: ファイルアップロード機能へのアクセスを信頼できるユーザーのみに制限する
関連リンク
データソース: GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。