CVE-2026-109284 in Open WebUI
Riassunto
di VulDB • 12/10/2026
Open WebUI dalle versioni 0.11.0 alla versione precedente a 0.11.4 presenta una vulnerabilità di autorizzazione impropria nel gestore delle fork della chat, che inserisce le chat create in modalità fork nella cartella della chat sorgente senza verificare l'accesso in scrittura alla cartella. I membri di una cartella condivisa con privilegi ridotti a sola lettura possono invocare POST /api/v1/chats/{id}/fork sulle chat da loro create all'interno di tale cartella mentre disponevano ancora dei permessi di scrittura, inserendo così delle chat controllate dall'attaccante visibili al proprietario della cartella e ai suoi membri.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.