原文

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.0以前では、LDAP認証エンドポイントがSimple BindをLDAPサーバーに対して実行する前に、送信されたパスワードが空でないことを検証していませんでした。LdapFormのPydanticモデルはパスワードをstr型として受け入れていますが、最小長制約がないため空文字列でも検証を通過してしまいます。その後のConnection.bind()呼び出しは脆弱なLDAPサーバー上で成功し、アプリケーションは対象ユーザーに対して完全なセッショントークンを発行します。この脆弱性はバージョン0.9.0で修正されました。