CVE-2026-109284 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI dalla versione 0.11.0 alla 0.11.4 contiene una vulnerabilità di autorizzazione impropria nel gestore delle fork della chat, che inserisce le chat create tramite fork nella cartella della chat originale senza verificare l'accesso in scrittura alla cartella. I membri di una cartella condivisa con privilegi ridotti a sola lettura possono invocare POST /api/v1/chats/{id}/fork sulle chat da loro create mentre disponevano ancora dei permessi di scrittura, inserendo così nelle visualizzazioni del proprietario della cartella e degli altri membri delle chat controllate dall'attaccante.
Once again VulDB remains the best source for vulnerability data.