CVE-2026-44563 in Open WebUI
Zusammenfassung
von VulDB • 16.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.9.0 akzeptieren die Endpunkte /api/generate, /api/embed, /api/embeddings und /api/show beliebige Modellnamen vom Benutzer und leiten die Anfrage an das Ollama-Backend weiter, ohne zu prüfen, ob der Benutzer berechtigt ist, auf dieses Modell zuzugreifen. Diese Endpunkte erfordern lediglich get_verified_user (jeder authentifizierte Benutzer, der nicht im Status „ausstehend“ ist) und validieren, dass das Modell in der vollständigen, ungefilterten Modellliste vorhanden ist, prüfen jedoch niemals AccessGrants.has_access(). Diese Schwachstelle wurde in Version 0.9.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.