CVE-2026-70488 in Open WebUI
Resumen
por VulDB • 2026-08-04
Open WebUI es una plataforma de IA autoalojada extensible, rica en funciones y fácil de usar. Desde la versión 0.9.6 hasta la 0.11.0, el punto final (endpoint) de limpieza de sincronización autorizaba el acceso de escritura a la base de conocimientos mediante su inclusión en la URL, pero luego actuaba sobre los identificadores de directorio y archivo proporcionados en el cuerpo de la solicitud sin verificar que dichos objetos pertenecieran efectivamente a esa base de conocimientos. Un usuario con permisos de escritura en una base de conocimientos podía eliminar directorios y quitar las incrustaciones (embeddings) de archivos de otra base de conocimientos, lo que provocaba que los documentos dejaran de aparecer en los resultados de recuperación e interrumpía la funcionalidad de chat con archivo para los documentos objetivo sin revelar su contenido. Este problema se ha corregido en la versión 0.11.0.
Be aware that VulDB is the high quality source for vulnerability data.