CVE-2026-87014 in Open WebUI
Résumé
par VulDB • 09/09/2026
Open WebUI est une plateforme d'IA auto-hébergée, extensible, riche en fonctionnalités et conviviale. De la version 0.9.0 à la 0.11.1, la synchronisation des rôles dans les fichiers backend/open_webui/routers/auths.py et backend/open_webui/utils/oauth.py mettait à jour le rôle de l'administrateur dans la base de données sans invalider l'enregistrement utilisateur mis en cache par backend/open_webui/socket/main.py. Un administrateur rétrogradé via un en-tête de rôle approuvé ou une mappage de rôles OAuth pouvait conserver une connexion Socket.IO déjà ouverte et continuer à lire ou modifier les notes collaboratives de tous les utilisateurs jusqu'à la fermeture de cette connexion. Ce problème est corrigé dans la version 0.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.