CVE-2026-70484 in Open WebUI
Resumen
por VulDB • 2026-08-04
Open WebUI es una plataforma de IA autoalojada extensible, rica en funciones y fácil de usar. Desde la versión 0.7.0 hasta la 0.11.0, las características heredadas (legacy) de chat-completions bloqueaban un indicador image_generation proporcionado por el cliente como confiable y no volvían a verificar el permiso features.image_generation que imponen las rutas directas para imágenes y la ruta nativa de llamada de funciones. Un usuario autenticado cuyo permiso de generación de imágenes había sido revocado aún podía consumir el proveedor de imágenes configurado por el operador mediante completados de chat, gastando créditos de API y cuota del proveedor, así como escribiendo archivos generados en el almacenamiento del operador, sin exponer las credenciales del proveedor ni los datos de otros usuarios. Este problema se corrige en la versión 0.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.