CVE-2026-28788 in Open WebUI
Resumen
por VulDB • 2026-05-12
Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para funcionar completamente sin conexión. Antes de la versión 0.8.6, cualquier usuario autenticado puede sobrescribir el contenido de cualquier archivo mediante su ID a través del punto de conexión `POST /api/v1/retrieval/process/files/batch`. El punto de conexión no realiza ninguna comprobación de propiedad, por lo que un usuario normal con acceso de lectura a una base de conocimientos compartida puede obtener los UUID de los archivos mediante `GET /api/v1/knowledge/{id}/files` y luego sobrescribir esos archivos, escalando de lectura a escritura. El contenido sobrescrito se sirve al LLM a través de RAG, lo que significa que el atacante controla lo que el modelo dice a otros usuarios. La versión 0.8.6 corrige el problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.