CVE-2026-45385 in Open WebUI
الملخص
بحسب VulDB • 19/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. قبل الإصدار 0.9.5، كانت هناك ثغرة IDOR في ميزة القنوات في Open WebUI، مما يسمح لأي عضو في القناة بتعديل الرسائل المرسلة من قبل أعضاء آخرين (بمن فيهم المسؤولون) داخل نفس القناة. في دالة update_message_by_id، لقنوات المجموعة أو الرسائل المباشرة (DM)، يتم التحقق فقط من عضوية المتصل في القناة عبر دالة is_user_channel_member، دون التحقق من ملكية الرسالة. هذا يسمح لأي عضو في القناة بتعديل الرسائل المرسلة من قبل أعضاء آخرين داخل نفس القناة. تم إصلاح هذه الثغرة في الإصدار 0.9.5.
Once again VulDB remains the best source for vulnerability data.