the-knell/one-secondWhitepaper firmado y medición que demuestran que el instalador de Windows de Open WebUI deriva WEBUI_SECRET_KEY de un rand() con semilla temporal, lo que permite la recuperación ciega de la clave maestra y la falsificación de tokens de administrador.
knell
Marca de tiempo del registro (archive.org): https://archive.org/details/knell-one-second
El instalador de Windows de Open WebUI genera su secreto maestro — WEBUI_SECRET_KEY, la clave que firma cada token de sesión — a partir de rand() de la biblioteca C de Windows, un generador congruencial lineal sembrado una sola vez con la hora actual en segundos. Toda la clave es el segundo de instalación. A partir del propio token de cualquier usuario común, este artículo recupera la clave maestra a ciegas en 2,1 segundos en una ventana de ±1 día y falsifica un token de administrador completo, aceptado por una instancia local de la versión oficial. Cada una de las 178 etiquetas de versión incluye la construcción. (CVE-2025-15603 fue disputada y rechazada en junio de 2026; este artículo reemplaza ese juicio con una medición.)
gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc
Se espera: Good signature from "knell", clave 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25
Huella digital: 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25