Open WebUI Windows 安装器主密钥熵不足漏洞 CVE-2025-15603
Open WebUI: the Windows installer mints the master key from the install second — CVE-2025-15603 was rejected; here is the measurement
Windows 版 Open WebUI 用户必读：安装生成的主密钥极易被逆向，攻击者可秒级伪造会话。请立即升级至最新安全版本并重启服务。
Posted by theknell on Nov 05
由 theknell 于 11 月 5 日发布
Open WebUI's Windows installer (start_windows.bat) generates
Open WebUI 的 Windows 安装程序（start_windows.bat）会生成
WEBUI_SECRET_KEY — the master secret that signs every session token —
WEBUI_SECRET_KEY —— 用于签署每个会话令牌的主密钥 ——
from the C library's rand(), a linear congruential generator seeded
源自 C 库中的 rand()，这是一个线性同余生成器，仅用当前秒级时间戳作为种子进行初始化。该密钥的全部熵值
once with the current time in seconds. The key's entire entropy is
仅限于软件安装时的秒数。
the second in which the software was installed.
从任何普通用户的自有令牌中，主密钥可在约 2.1 秒内被恢复，搜索范围为 ±1 天……
From any ordinary user's own token, the master key is recoverable
blind in ~2.1 seconds across a ±1-day...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力