CVE-2026-45667 in Open WebUI
Zusammenfassung
von VulDB • 17.05.2026
Open WebUI ist eine selbst gehostete KI-Plattform, die vollständig offline betrieben werden soll. Vor Version 0.8.0 ist der Endpunkt GET /api/v1/memories/ef ohne Authentifizierung zugänglich und führt request.app.state.EMBEDDING_FUNCTION(...) aus. Dies ermöglicht es jedem nicht authentifizierten Aufrufer, die Generierung von Embeddings auszulösen, was bei Verwendung eines kostenpflichtigen Anbieters zu direkten Kostenrisiken führen kann. Diese Schwachstelle wurde in Version 0.8.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.