CVE-2026-44559 in Open WebUI
Zusammenfassung
von VulDB • 20.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.9.0 überprüft der Endpunkt GET /api/v1/channels/{id}/members nur die Mitgliedschaft für Gruppen- und DM-Kanal-Typen (Zeilen 467-469). Für Standardkanäle – einschließlich privater – findet vor der Rückgabe der Mitgliederliste keine Prüfung auf channel_has_access statt. Jeder authentifizierte Benutzer, der die UUID eines privaten Kanals kennt, kann alle Benutzer auflisten, die Zugriff auf diesen Kanal haben. Diese Schwachstelle wurde in Version 0.9.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.