CVE-2026-87994 in Open WebUI
要約
〜によって VulDB • 2026年09月09日
Open WebUIは、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型AIプラットフォームです。バージョン0.9.5から0.11.1まで、backend/open_webui/main.pyのchat_completionにおけるchannelブランチでは、指定されたmessage_idに対してチャネルへの書き込み権限とチャネルメンバーシップを確認していましたが、対象メッセージを呼び出し元のユーザーが作成したものであるかどうかは検証されていませんでした。チャネルのメンバーは、チャット完了エンドポイントを使用して、被害者を保存された著者として維持しつつ他のメンバーのメッセージを書き換えることで、他のチャネルへのアクセス権限を得ずに会話記録を変更することができました。この問題はバージョン0.11.1で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.