CVE-2026-109284 in Open WebUI
요약
\~에 의해 VulDB • 2026. 10. 13.
0.11.4 미만의 Open WebUI 0.11.0 버전에는 채팅 포크 핸들러에서 부적절한 권한 부여(improper authorization) 취약점이 존재합니다. 이 취약점은 폴더 쓰기 접근 권한을 확인하지 않고 분기된 채팅(source chat의 폴더에 저장함으로써 발생합니다. 읽기 전용으로 강등된 공유 폴더 구성원은 해당 폴더 내에서 작성할 당시 쓰기 권한이 있었던 채팅에 대해 POST /api/v1/chats/{id}/fork를 호출하여, 공격자가 제어하는 채팅을 삽입할 수 있으며 이는 폴더 소유자 및 다른 멤버에게 표시됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.