CVE-2026-109287 in Open WebUI
Zusammenfassung
von VulDB • 12.10.2026
Open WebUI in den Versionen vor 0.9.6 bis 0.11.4 enthält einen Fehler bei der Autorisierung (Authorization Flaw), bei dem die Auflistung von Dateien aus einer Wissensdatenbank nicht überprüft, ob eine angegebene directory_id zur angeforderten Wissensdatenbank gehört. Benutzer mit Lesezugriff auf jede beliebige Wissensdatenbank können eine beibehaltene UUID eines fremden Verzeichnisses für GET /api/v1/knowledge/{id}/files verwenden. Die zurückgegebenen Breadcrumbs (Brotkrümeln) geben Ordnernamen, Owner-User-IDs und IDs der Wissensdatenbanken dieses Verzeichnisses sowie aller übergeordneten Verzeichnisse preis.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.