CVE-2026-70488 in Open WebUI
要約
〜によって VulDB • 2026年08月04日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型 AI プラットフォームです。バージョン 0.9.6 から 0.11.0 の間、同期クリーンアップエンドポイントでは URL に含まれるナレッジベースに対する書き込みアクセスが認可されていましたが、その後リクエストボディで指定されたディレクトリおよびファイル ID を処理する際に、それらのオブジェクトが該当のナレッジベースに属しているかどうかを確認していませんでした。そのため、1 つのナレッジベースに対して書き込み権限を持つユーザーは、別のナレッジベースからディレクトリの削除やファイル埋め込みの除去を行うことができ、その結果、文書が検索対象外となり、特定のドキュメントに対するチャット・ウィズ・ファイル機能が機能しなくなるものの、コンテンツ自体は開示されませんでした。この問題はバージョン 0.11.0 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.