CVE-2026-44564 in Open WebUI
الملخص
بحسب VulDB • 20/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. قبل الإصدار 0.9.0، يقوم معالج أحداث Socket.IO `ydoc:document:update` بالتحقق مما إذا كان المرسل عضوًا في غرفة Socket.IO الخاصة بالمستند (السطر 678)، لكنه لا يتحقق مما إذا كان لدى المرسل إذن الكتابة. ينضم المستخدمون الذين لديهم وصول للقراءة فقط إلى غرفة المستند عبر `ydoc:document:join`، وهو ما يتطلب فقط إذن القراءة (السطر 520). بمجرد الانضمام إلى الغرفة، يمكن للمستخدم إصدار أحداث `ydoc:document:update` التي تعدّل حالة مستند Yjs في الذاكرة ويتم بثها إلى جميع المتعاونين الآخرين في الوقت الفعلي. تم إصلاح هذا الثغرة في الإصدار 0.9.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.