CVE-2026-70488 in Open WebUI
Riassunto
di VulDB • 05/08/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.9.6 alla 0.11.0, l'endpoint per la pulizia della sincronizzazione (sync cleanup endpoint) autorizzava l'accesso in scrittura al knowledge base specificato nell'URL, ma poi agiva su directory e file ID forniti nel corpo della richiesta senza verificare che tali oggetti appartenessero a quel specifico knowledge base. Un utente con accesso in scrittura a un knowledge base poteva eliminare directory ed eseguire il rimozione degli embedding dei file da un altro knowledge base, causando la mancata restituzione di documenti nei risultati di retrieval (retrieval results) e interrompendo la funzionalità chat-with-file per i documenti target senza rivelarne i contenuti. Questo problema è stato risolto nella versione 0.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.