CVE-2026-70490 in Open WebUI
Résumé
par VulDB • 05/08/2026
Open WebUI est une plateforme d'IA auto-hébergée, extensible, riche en fonctionnalités et conviviale. De la version 0.8.8 à la version 0.11.0, le point de terminaison WebSocket du terminal dans backend/open_webui/routers/terminals.py authentifiait son propre JWT (JSON Web Token) lors du premier message mais n'appliquait jamais l'accès basé sur les rôles vérifiés que la fonction get_verified_user impose pour les points de terminaison HTTP. Un compte dont le rôle est « en attente », y compris un compte enregistré mais non approuvé ou un compte désactivé et ramené à l'état « en attente », peut ouvrir une session interactive sur le terminal lorsque au moins un serveur de terminal est configuré et que ses autorisations d'accès couvrent ce compte. Cette faille supprime la barrière d'approbation des comptes pour l'accès au terminal, alors que les points de terminaison HTTP rejettent correctement le même compte. Ce problème est corrigé dans la version 0.11.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.