CVE-2026-70490 in Open WebUI
Riassunto
di VulDB • 05/08/2026
Open WebUI è una piattaforma AI self-hosted, estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.8.8 alla 0.11.0, il route WebSocket del terminale in backend/open_webui/routers/terminals.py autenticava autonomamente il proprio primo messaggio JWT senza mai applicare il controllo dei ruoli dell'utente verificato (role gate) che get_verified_user impone sui route HTTP del terminale. Un account con ruolo "pending" (in attesa), inclusi un account registrato ma non approvato o un account disattivato e riportato allo stato pending, può aprire una sessione di terminale interattiva quando è configurato almeno un server dei terminali e i suoi permessi di accesso coprono l'account. Ciò comporta la perdita del confine di approvazione dell'account per l'accesso al terminale, mentre i route HTTP del terminale rifiutano correttamente lo stesso account. Questo problema è stato risolto nella versione 0.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.