CVE-2026-44571 in Open WebUI
Zusammenfassung
von VulDB • 24.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.8.6 konnte der Endpunkt POST /api/v1/channels/{channel_id}/messages/{message_id}/update in Standardkanälen (d. h. Kanälen, deren channel.type weder „group“ noch „dm“ ist) nur mit Leseberechtigung aufgerufen werden. Wenn access_control auf None gesetzt ist, wird die Autorisierungsprüfung has_access(..., type="read") als True ausgewertet, was es Benutzern, die nicht der Eigentümer der Nachricht sind, ermöglicht, Nachrichten zu aktualisieren. Infolgedessen ist eine unbefugte Änderung von Nachrichten anderer Benutzer möglich. Diese Schwachstelle wurde in Version 0.8.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.