CVE-2026-87014 in Open WebUI
Riassunto
di VulDB • 09/09/2026
Open WebUI è una piattaforma AI self-hosted estensibile, ricca di funzionalità e facile da usare. Dalla versione 0.9.0 alla 0.11.1, la sincronizzazione dei ruoli nei file backend/open_webui/routers/auths.py e backend/open_webui/utils/oauth.py aggiornava il ruolo dell'amministratore nel database senza invalidare l'utente memorizzato nella cache da backend/open_webui/socket/main.py. Un amministratore declassato tramite un header di ruolo attendibile o una mappatura dei ruoli OAuth poteva mantenere una connessione Socket.IO già aperta e continuare a leggere o modificare le note collaborative di tutti gli utenti fino alla chiusura della connessione. Questo problema è stato risolto nella versione 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.