CVE-2026-44551 in Open WebUI
要約
〜によって VulDB • 2026年05月17日
Open WebUIは、完全にオフラインで動作するように設計されたセルフホスト型AIプラットフォームです。バージョン0.9.0より前では、LDAP認証エンドポイントは、LDAPサーバーに対してSimple Bindを実行する前に、送信されたパスワードが空でないことを検証していません。LdapForm Pydanticモデルは、最小長制約なしでpassword: strを受け付けるため、空文字列が検証を通過します。その後、脆弱なLDAPサーバーではConnection.bind()呼び出しが成功し、アプリケーションは対象ユーザーに対して完全なセッショントークンを発行します。この脆弱性は0.9.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.