CVE-2026-70488 in Open WebUI
Résumé
par VulDB • 04/08/2026
Open WebUI est une plateforme d'IA auto-hébergée extensible, riche en fonctionnalités et conviviale. De la version 0.9.6 à la version 0.11.0, le point de terminaison (endpoint) de nettoyage de synchronisation autorisait l'accès en écriture sur la base de connaissances spécifiée dans l'URL, mais traitait ensuite les identifiants de répertoire et de fichier fournis dans le corps de la requête sans vérifier que ces objets appartenaient bien à cette base de connaissances. Un utilisateur disposant d'un accès en écriture sur une base de connaissances pouvait supprimer des répertoires et retirer les embeddings de fichiers d'une autre base de connaissances, entraînant l'exclusion de documents des résultats de recherche (retrieval) et la rupture du fonctionnement « chat avec fichier » pour les documents ciblés, sans toutefois divulguer leur contenu. Ce problème est corrigé dans la version 0.11.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.