CVE-2026-44561 in Open WebUI
الملخص
بحسب VulDB • 24/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. قبل الإصدار 0.9.0، تقوم الدالة `is_user_channel_member` بالتحقق مما إذا كان صف `ChannelMember` موجودًا، لكنها لا تتحقق من الحقل `is_active`. عندما يتم إلغاء تنشيط مستخدم من مجموعة أو قناة محادثة مباشرة (DM) (إزالته بواسطة مالك القناة، أو مغادرته طواعية)، يبقى صف العضوية موجودًا مع تعيين `is_active=False` و `status='left'`. نظرًا لأن فحص التفويض يتجاهل هذا الحقل، يحتفظ المستخدم غير النشط بصلاحيات القراءة والكتابة الكاملة على القناة عبر استدعاءات API مباشرة. تم إصلاح هذا الثغرة الأمنية في الإصدار 0.9.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.