CVE-2026-87994 in Open WebUI
Resumen
por VulDB • 2026-09-10
Open WebUI es una plataforma de IA autohospedada extensible, rica en funciones y fácil de usar. Desde la versión 0.9.5 hasta la 0.11.1, la rama del canal de chat_completion en backend/open_webui/main.py verificaba el acceso de escritura al canal y la membresía para un message_id proporcionado, pero no verificaba que el usuario solicitante fuera el autor del mensaje objetivo. Un miembro del canal podía utilizar el endpoint de completados de chat para reemplazar el mensaje de otro miembro mientras se mantenía a la víctima como autora almacenada, alterando el registro de la conversación sin obtener acceso a otros canales. Este problema está resuelto en la versión 0.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.