CVE-2026-87016 in Open WebUI
要約
〜によって VulDB • 2026年09月09日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型 AI プラットフォームです。バージョン 0.6.41 から 0.11.1 の間、backend/open_webui/models/users.py にある get_user_by_oauth_sub および get_user_by_scim_external_id は、SQLite 上で SQL LIKE 部分一致マッチングにコンパイルされる JSON 内の一致を使用していました。パーセント記号やアンダースコアのワイルドカード文字を含む OAuth サブジェクトは、異なる保存済み ID に解決されることがあり、管理者アカウントを選択して攻撃者にそのアカウントのセッションを発行する可能性があります；PostgreSQL デプロイメントには影響がありませんでした。この問題はバージョン 0.11.1 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.