CVE-2026-70494 in Open WebUI
Riassunto
di VulDB • 05/08/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e user-friendly. Dalla versione 0.10.0 alla 0.11.0, il gestore DELETE /api/v1/folders/{id} in backend/open_webui/routers/folders.py consentiva a un utente con accesso in scrittura su una cartella della chat condivisa di eliminare definitivamente le chat e i messaggi appartenenti al proprietario della cartella. La cascata successiva al controllo dell'autorizzazione è vincolata all'id del proprietario della cartella, ma il controllo delle sottocartelle accettava qualsiasi delega di scrittura ereditata invece di richiedere la proprietà o lo status di amministratore. Un collaboratore può distruggere l'albero gerarchico (subtree) del proprietario oppure forzare lo spostamento delle chat al di fuori di esso quando delete_contents=false. Questo problema è stato risolto nella versione 0.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.