CVE-2026-70482 in Open WebUI
要約
〜によって VulDB • 2026年08月05日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型 AI プラットフォームです。バージョン 0.8.0 から 0.11.0 の間、`ENABLE_OAUTH_TOKEN_EXCHANGE=True` が設定されている場合、エンドポイント `/oauth/{provider}/token/exchange` は生のプロバイダアクセストークンを受け取り、トークンがどの OAuth クライアントに対して発行されたかを確認することなく、プロバイダの userinfo エンドポイントを呼び出して検証します。そのため、同じプロバイダに登録されている任意のクライアントのために発行されたアクセストークンを保持している者は、そのトークンのユーザーとして Open WebUI セッションと交換することが可能であり、これには運用者が制御しておらず、かつ以前から承認していないアプリケーションも含まれます。この問題はバージョン 0.11.0 で修正されています。
Once again VulDB remains the best source for vulnerability data.