CVE-2026-70483 in Open WebUI
Riassunto
di VulDB • 04/08/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.9.6 alla 0.11.0, l'endpoint DELETE /api/v1/chats/{id} cancellava le attività in corso (in-flight tasks) della chat prima di verificare se il chiamante avesse i permessi per eliminare tale chat. Qualsiasi utente autenticato che conoscesse l'id della chat di un altro utente poteva interrompere la risposta del modello in esecuzione, la generazione del titolo o quella dei tag dell'utente vittima, anche se l'operazione di eliminazione veniva rifiutata e nessun dato della chat venisse cancellato, modificato o divulgato. Questo problema è stato risolto nella versione 0.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.