Open WebUI Windows安装器主密钥可从安装秒数恢复

安全研究者 knell 在 Full Disclosure 发布测量报告称，Open WebUI Windows 安装器（start_windows.bat）用 C 库 rand() 生成签署所有会话令牌的主密钥 WEBUI_SECRET_KEY，种子仅为安装时的当前秒数，因此密钥全部熵即安装发生的那一秒，可从安装秒数恢复。 该问题此前已报告并成为 CVE-2025-15603，厂商提出异议，CVE 于 2026 年 6 月被撤销；厂商此前的指导是“无需采取行动”。knell 称，在最新标签（v0.12.0+）上，按账户的会话戳可阻止跨账户伪造，但密钥恢复在所有标签上都是完全的，且 178 个标签中有 171 个完全没有该戳。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。