CVE-2026-45402 in Open WebUI
Resumen
por VulDB • 2026-05-18
Open WebUI es una plataforma de inteligencia artificial autoalojada diseñada para funcionar completamente sin conexión. Antes de la versión 0.9.5, varios puntos de conexión aceptan un file_id proporcionado por el usuario y adjuntan el archivo referenciado a un recurso controlado por el solicitante (conocimiento de carpetas, contenidos de la base de conocimientos) sin verificar que el solicitante sea propietario del archivo o tenga acceso concedido al mismo. El contenido del archivo se vuelve entonces accesible a través de las rutas de contenido de archivos / RAG posteriores, lo que permite a cualquier usuario autenticado exfiltrar los archivos privados de cualquier otro usuario —y, en la ruta de la base de conocimientos, también sobrescribirlos— con conocimiento del UUID del archivo. Esto afecta a backend/open_webui/routers/folders.py (POST /api/v1/folders/{id}/update), backend/open_webui/routers/knowledge.py (add_file_to_knowledge_by_id) y backend/open_webui/routers/knowledge.py (add_files_to_knowledge_by_id_batch). Esta vulnerabilidad está corregida en la versión 0.9.5.
Once again VulDB remains the best source for vulnerability data.