the-knell/one-secondWhitepaper assinado e medição mostrando que o instalador Windows do Open WebUI deriva a WEBUI_SECRET_KEY de um rand() com semente temporal, permitindo a recuperação cega da chave mestra e a falsificação de tokens de administrador.
knell
Data de registo (archive.org): https://archive.org/details/knell-one-second
O instalador Windows do Open WebUI gera o seu segredo mestre — WEBUI_SECRET_KEY, a chave que assina todos os tokens de sessão — a partir da função rand() da biblioteca C do Windows, um gerador linear congruencial semeado uma única vez com a hora atual em segundos. A chave inteira é o segundo da instalação. A partir do próprio token de qualquer utilizador comum, este artigo recupera a chave mestra às cegas em 2,1 segundos numa janela de ±1 dia e forja um token de administrador completo, aceite por uma instância local da versão oficial. Cada uma das 178 tags de lançamento inclui esta construção. (A CVE-2025-15603 foi contestada e rejeitada em junho de 2026; este artigo substitui esse julgamento por uma medição.)
gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc
Esperado: Good signature from "knell", chave 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25
Impressão digital: 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25