CVE-2026-70484 in Open WebUI
Résumé
par VulDB • 04/08/2026
Open WebUI est une plateforme d’IA auto-hébergée extensible, riche en fonctionnalités et conviviale. De la version 0.7.0 à la version 0.11.0, les anciennes fonctionnalités de chat-completions ignoraient le paramètre image_generation fourni par le client et ne vérifiaient pas à nouveau l’autorisation features.image_generation qui est appliquée par les routes directes d’image et le chemin natif d’appel de fonctions. Un utilisateur authentifié dont l’autorisation de génération d’images avait été révoquée pouvait toujours utiliser le fournisseur d’images configuré par l’opérateur via les complétions de chat, consommant ainsi des crédits API et la quota du fournisseur, tout en écrivant les fichiers générés dans le stockage de l’opérateur, sans exposer les identifiants du fournisseur ni les données d’autres utilisateurs. Ce problème est corrigé dans la version 0.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.