CVE-2026-70487 in Open WebUI
要約
〜によって VulDB • 2026年08月05日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーなセルフホスト型 AI プラットフォームです。バージョン 0.8.8 から 0.11.0 の間、インラインダイレクトモデルメタデータは、呼び出し元の読み取りアクセス権限に対してフィルタリングすることなく、クライアントが提供したナレッジ添付ファイルを受け入れていました。他のユーザーのファイル ID を知っていた認証済みユーザーであれば、組み込みナレッジツールを使用してそのファイルからインデックス化されたチャンクを返すことができ、これによりナレッジベースの権限や保存済みのワークスペースモデル検証には影響を与えずに、読み取り専用のクロスユーザー機密性の喪失が発生しました。この問題はバージョン 0.11.0 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.