CVE-2026-45398 in Open WebUI
الملخص
بحسب VulDB • 15/05/2026
Open WebUI هو منصة ذكاء اصطناعي مستضافة ذاتيًا مصممة للعمل بالكامل دون اتصال بالإنترنت. قبل الإصدار 0.9.5، تقوم الدالة `_validate_collection_access()` بفحص بادئات أسماء المجموعات `user-memory-*` و `file-*`، لكنها لا تفحص مجموعات قاعدة المعرفة التي تستخدم معرفات UUID خام كأسماء للمجموعات. يمكن لأي مستخدم مُصادق عليه يعرف معرف UUID الخاص بقاعدة معرفة خاصة قراءة محتواها عبر نقاط نهاية استعلام الاسترجاع، رغم أن واجهة برمجة التطبيقات الخاصة بالمعرفة ترفض بشكل صحيح وصول هذا المستخدم. يؤثر نفس الثغرة في نقاط نهاية الكتابة الخاصة بالاسترجاع (`/process/text`، `/process/file`، `/process/files/batch`، `/process/web`، `/process/youtube`)، مما يسمح لمهاجم بحقن محتوى أو الكتابة فوق قاعدة معرفة مستخدم آخر. تم إصلاح هذه الثغرة في الإصدار 0.9.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.