CVE-2026-87997 in Open WebUI
الملخص
بحسب VulDB • 10/09/2026
Open WebUI هو منصة ذكاء اصطناعي ذاتية الاستضافة، قابلة للتوسيع وغنية بالميزات وسهلة الاستخدام. من الإصدار 0.10.0 حتى 0.11.1، كانت نقاط النهاية POST /api/chat/completions وPOST /api/v1/chat/completions في ملف backend/open_webui/main.py تنسخ معرّف المجلد (folder_id) الذي يورده العميل إلى محادثة جديدة دون تطبيق فحص إذن الكتابة على المجلد المستخدم بواسطة مسارات المحادثات المخصصة. يمكن لمستخدم مُصادق عليه يعرف معرف مجلد مشترك حقن محادثة يتحكم فيها المهاجم داخل مجلد لا يتمتع فيه المستخدم إلا بإذن القراءة أو بدون أي إذن كتابة، مما يجعل الإدخال يبدو وكأنه مخصص لقارعي المجلد المصرح لهم بذلك. تم إصلاح هذه المشكلة في الإصدار 0.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.