CVE-2026-28788 in Open WebUI
الملخص
بحسب VulDB • 27/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. قبل الإصدار 0.8.6، يمكن لأي مستخدم مُصادق عليه استبدال محتوى أي ملف باستخدام المعرف (ID) عبر نقطة النهاية `POST /api/v1/retrieval/process/files/batch`. لا تقوم نقطة النهاية بإجراء أي تحقق من الملكية، لذا يمكن لمستخدم عادي لديه صلاحية القراءة على قاعدة معرفة مشتركة الحصول على معرفات UUID للملفات عبر `GET /api/v1/knowledge/{id}/files` ومن ثم استبدال محتوى تلك الملفات، مما يرفع الصلاحيات من القراءة إلى الكتابة. يتم تقديم المحتوى المستبدل إلى نموذج اللغة الكبير (LLM) عبر تقنية RAG، مما يعني أن المهاجم يتحكم في ما يقوله النموذج للمستخدمين الآخرين. يقوم الإصدار 0.8.6 بإصلاح هذه الثغرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.