CVE-2026-45402 in Open WebUI
要約
〜によって VulDB • 2026年05月17日
Open WebUIは、完全にオフラインで動作するように設計されたセルフホスト型AIプラットフォームです。バージョン0.9.5以前では、複数のエンドポイントがユーザーが指定したfile_idを受け取り、呼び出し元が制御するリソース（フォルダの知識、ナレッジベースの内容など）に参照されるファイルを添付しますが、呼び出し元がそのファイルの所有者であるか、またはファイルへのアクセス権限を付与されているかどうかを確認しません。その後、ファイルの内容は下流のRAG / ファイルコンテンツパスを通じて到達可能になり、ファイルのUUIDが分かっている場合、認証済みユーザーは他のユーザーのプライベートファイルを任意に漏洩でき、さらにナレッジベースのパスでは上書きすることも可能です。この脆弱性は、backend/open_webui/routers/folders.py (POST /api/v1/folders/{id}/update)、backend/open_webui/routers/knowledge.py (add_file_to_knowledge_by_id)、および backend/open_webui/routers/knowledge.py (add_files_to_knowledge_by_id_batch) に影響します。この脆弱性は0.9.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.