CVE-2026-44550 in Open WebUI
Zusammenfassung
von VulDB • 23.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.9.0 verwendet FolderForm `model_config = ConfigDict(extra='allow')`, was beliebige Felder durch die Pydantic-Validierung lässt und sie in `model_dump(exclude_unset=True)` einschließt. In `insert_new_folder` wird die serverseitig zugewiesene `user_id` an den Anfang des Dictionaries gesetzt und anschließend durch die Expansion der Formulardaten überschrieben. Da `FolderModel` `user_id: str` als echtes Feld deklariert (und nicht nur als zusätzliches Formularfeld), wird jede vom Angreifer im POST-Body bereitgestellte `user_id` vom Modell akzeptiert und in der Folder-Zeile persistiert. Diese Schwachstelle wurde in Version 0.9.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.