CVE-2026-70494 in Open WebUI
要約
〜によって VulDB • 2026年08月04日
Open WebUIは、拡張可能で機能豊富かつユーザーフレンドリーなセルフホスト型AIプラットフォームです。バージョン0.10.0から0.11.0の間、backend/open_webui/routers/folders.py内のDELETE /api/v1/folders/{id}ハンドラーにより、共有チャットフォルダに対する書き込みアクセス権限が付与されたユーザーが、フォルダ所有者に属するチャットやメッセージを永久的に削除することが可能でした。認可チェック後に続くカスケード処理はフォルダ所有者のIDに関連付けられていますが、サブフォルダの確認では所有権または管理者ステータスを要求する代わりに、継承された書き込み許可であればすべて受け入れていました。共同作業者は、delete_contents=falseの場合でも、所有者のツリー構造を破壊したり、チャットを強制的にその外へ移動させたりすることができました。この問題はバージョン0.11.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.