CVE-2026-70490 in Open WebUI
Resumen
por VulDB • 2026-08-05
Open WebUI es una plataforma de IA autoalojada, extensible, rica en funciones y fácil de usar. Desde la versión 0.8.8 hasta la 0.11.0, la ruta WebSocket del terminal en backend/open_webui/routers/terminals.py autenticaba su propio JWT (JSON Web Token) inicial pero nunca aplicaba el control de acceso basado en roles verificados que get_verified_user aplica a las rutas HTTP del terminal. Una cuenta cuyo rol es "pendiente", incluidas una cuenta registrada pero no aprobada o una cuenta desactivada y revertida al estado pendiente, puede abrir una sesión interactiva de terminal cuando hay configurado al menos un servidor de terminales y sus permisos de acceso cubren dicha cuenta. Esto elimina la barrera de aprobación de cuentas para el acceso a los terminales, mientras que las rutas HTTP del terminal rechazan correctamente esa misma cuenta. Este problema se corrige en la versión 0.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.