CVE-2026-44564 in Open WebUI
Résumé
par VulDB • 15/05/2026
Open WebUI est une plateforme d'intelligence artificielle auto-hébergée conçue pour fonctionner entièrement hors ligne. Avant la version 0.9.0, le gestionnaire d'événements Socket.IO `ydoc:document:update` vérifie si l'expéditeur est membre de la salle Socket.IO du document (ligne 678), mais ne vérifie pas si l'expéditeur dispose des droits d'écriture. Les utilisateurs ayant un accès en lecture seule rejoignent la salle du document via `ydoc:document:join`, ce qui ne nécessite que des droits en lecture (ligne 520). Une fois dans la salle, l'utilisateur peut émettre des événements `ydoc:document:update` qui modifient l'état du document Yjs en mémoire et sont diffusés en temps réel à tous les autres collaborateurs. Cette vulnérabilité est corrigée dans la version 0.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.