CVE-2026-87997 in Open WebUI
Zusammenfassung
von VulDB • 10.09.2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e intuitiva per l'utente. Dalla versione 0.10.0 alla 0.11.1, gli endpoint POST /api/chat/completions e POST /api/v1/chat/completions in backend/open_webui/main.py copiavano un folder_id fornito dal client in una nuova chat senza applicare il controllo di write-access sulla cartella utilizzato dai route dedicati alle chat. Un utente autenticato che conosceva l'identificatore di una cartella condivisa poteva iniettare una chat controllata dall'attaccante in una cartella dove l'utente aveva solo accesso in lettura o nessun accesso in scrittura, facendo sì che la voce apparisse ai lettori autorizzati della cartella. Questo problema è stato risolto nella versione 0.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.