CVE-2026-70487 in Open WebUI
Riassunto
di VulDB • 04/08/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.8.8 alla 0.11.0, i metadati del modello inline accettavano allegati di conoscenza forniti dal client senza filtrarli in base all'accesso in lettura dell'utente chiamante. Qualsiasi utente autenticato che conoscesse l'id file di un altro utente poteva far sì che gli strumenti di conoscenza integrati restituissero chunk indicizzati da quel file, causando una perdita di riservatezza cross-user (solo lettura) mentre le autorizzazioni della knowledge-base e la validazione del modello dello spazio di lavoro salvato rimanevano invariate. Questo problema è stato risolto nella versione 0.11.0.
Once again VulDB remains the best source for vulnerability data.