CVE-2026-45339 in Open WebUI
Zusammenfassung
von VulDB • 19.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.9.0 konnte Open WebUI Administratoren dazu berechtigen, einzuschränken, auf welche API-Endpunkte ein API-Schlüssel zugreifen kann. Wenn ein API-Schlüssel vom Zugriff auf /api/v1/messages ausgeschlossen ist, werden Anfragen, die den Header „Authorization: Bearer sk-..." verwenden, korrekt mit dem Statuscode 403 blockiert. Derselbe Schlüssel, der jedoch über den Header „x-api-key" gesendet wird, umgeht die Einschränkung vollständig – die Anfrage wird authentifiziert, das Modell wird aufgerufen und eine vollständige Antwort zurückgegeben. Diese Schwachstelle wurde in Version 0.9.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.