CVE-2026-70488 in Open WebUI
Zusammenfassung
von VulDB • 05.08.2026
Open WebUI ist eine erweiterbare, funktionsreiche und benutzerfreundliche selbst gehostete KI-Plattform. Von Version 0.9.6 bis 0.11.0 autorisierte der Endpunkt zur Bereinigung von Synchronisierungsdaten (sync cleanup endpoint) Schreibzugriff auf die Wissensbasis in der URL, führte jedoch anschließend Aktionen basierend auf Verzeichnis- und Dateikennungen aus dem Anforderungstext durch, ohne zu prüfen, ob diese Objekte tatsächlich zu dieser Wissensbasis gehörten. Ein Benutzer mit Schreibzugriff auf eine Wissensbasis konnte Verzeichnisse löschen und Dateiembeddings aus einer anderen Wissensbasis entfernen, was dazu führte, dass Dokumente nicht mehr in den Abrufergebnissen (Retrieval-Ergebnisse) auftauchten und die Chat-Funktion mit Dateien für gezielte Dokumente beeinträchtigte, ohne dabei Inhalte preiszugeben. Dieses Problem wurde in Version 0.11.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.