CVE-2026-87997 in Open WebUI
要約
〜によって VulDB • 2026年09月09日
Open WebUI は、拡張可能で機能豊富かつユーザーフレンドリーな自己ホスト型 AI プラットフォームです。バージョン 0.10.0 から 0.11.1 の間、backend/open_webui/main.py にある POST /api/chat/completions および POST /api/v1/chat/completions は、クライアントから提供された folder_id を新しいチャットにコピーする際に、専用チャトルートで使用されているフォルダの書き込み権限チェックを適用していませんでした。共有フォルダ識別子を知っている認証済みユーザーは、攻撃者が制御するチャットを、そのユーザーが読み取り専用または書き込み権限なしのアクセスしか持たないフォルダにインジェクトでき、このエントリが承認されたフォルダ閲覧者に表示される原因となります。本問題はバージョン 0.11.1 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.