Open WebUI kehilangan otorisasi: pengguna terautentikasi menjangkau backend penyedia model yang dinonaktifkan dengan membawa kunci API langsung

Open WebUI sebelum 0.11.4 gagal memeriksa ulang bahwa backend penyedia model yang diminta diaktifkan ketika pemanggil memberikan indeks backend eksplisit pada rute daftar. Pengguna UI dapat menjangkau penyedia yang dinonaktifkan, memicu permintaan yang membawa kunci API yang dikonfigurasi, membaca string versi backend, dan menghitung koneksi yang dimaksudkan untuk dibatasi oleh administrator.

Backend yang dinonaktifkan di Open WebUI biasanya menyimpan kunci API/endpoint khusus yang ingin disembunyikan operator dari pengguna umum. Celah otorisasi ini memungkinkan pengguna terautentikasi mana pun mengakses penyedia model yang sebelumnya dibatasi, berpotensi menghabiskan kuota atau mengekspos metadata koneksi — sebuah bypass batas konfigurasi di UI obrolan yang dihosting sendiri dan digunakan secara luas.

Pengguna terautentikasi memberikan indeks backend eksplisit sebagai segmen jalur atau parameter kueri pada rute daftar yang kompatibel dengan Ollama/OpenAI, menjangkau backend penyedia model yang dinonaktifkan; permintaan tersebut membawa kunci API yang dikonfigurasi, dan string versi serta metadata koneksi dapat dibaca.

open-webui < 0.11.4 (rute daftar model Ollama dan kompatibel OpenAI)

Tingkatkan ke Open WebUI 0.11.4 (GHSA-hm62-64q2-6gxw).