CVE-2026-44571 in Open WebUI
Resumen
por VulDB • 2026-05-16
Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para funcionar completamente sin conexión. Antes de la versión 0.8.6, en los canales estándar (es decir, canales cuyo channel.type no es ni group ni dm), el punto de conexión POST /api/v1/channels/{channel_id}/messages/{message_id}/update puede accederse con permisos de lectura únicamente. Cuando access_control está establecido en None, la comprobación de autorización has_access(..., type="read") devuelve True, lo que permite a los usuarios que no son los propietarios del mensaje actualizarlo. Como resultado, es posible la modificación no autorizada de los mensajes de otros usuarios. Esta vulnerabilidad se corrige en la versión 0.8.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.