Vulnerabilidad en open-webui/open-webui (CVE-2024-12537)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

20/03/2025

Última modificación:

04/04/2025

Descripción

En la versión 0.3.32 de open-webui/open-webui, la ausencia de mecanismos de autenticación permite a cualquier atacante no autenticado acceder al endpoint `api/v1/utils/code/format`. Si un atacante envía una solicitud POST con un volumen excesivo de contenido, el servidor podría dejar de responder por completo. Esto podría provocar graves problemas de rendimiento, provocando que el servidor deje de responder o experimente una degradación significativa, lo que a su vez provocaría interrupciones del servicio para los usuarios legítimos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto